Wéi eng OpenVPN-Instanz benotzt tatsächlech Äre PiVPN-Profil?

PiVPN schreift eng Serverkonfiguratioun an e Clientprofil a fäert dann op; et gëtt ni de Prozess, deen Ären Traffic dréit. Dofir kënnen en deelweis Handshake, e Client deen de falschen Endpunkt ufiert, oder en Service deen no engem Neistart falsch erëm kënnt, net aus de Menue vum Installateur erkläert ginn. Déi Symptomer gehéieren zu deem OpenVPN-Daemon deen elo leeft, zu der Konfiguratioun déi deen Daemon tatsächlech gelueden huet, an zu deem Log op deen en weist. Véier just-Lies-Befeeler entscheeden dat meeschtens, an keen dovun ännert Är Zertifikater oder Schlësselen.

Den Helfer an den Daemon sinn ënnerschiddlech Objeten

D’Verwierrung ass einfach z’erklären: ee Repertoire hält d’Datei déi den Helfer generéiert huet, d’Datei déi den Daemon liest, an heiansdo eng al Kopie vun béiden. En Helfer ass e Provisioning-Skript. Et installéiert Paketen, schreift Eenheetsdateien a dréckt e Clientprofil, an dann ass seng Aarbecht eriwwer. Wat bleift, ass en Entrée am Servicemanager an eng Kommandozeil.

Op engem systemd-Host fänkt Dir mat der aktiver Eenheet un, net mat der Repertoirelëscht. Den Numm hänkt vun der Pakéierung of: Debian- an Raspberry Pi OS-Imager bidden normalerweis eng Template-Instanz wéi openvpn-server@server, während méi al Installatiounen openvpn@server benotzen. Frot de Manager wéien leeft, amplaz et aus engem Dateinumm ze roden.

systemctl list-units --type=service --all | grep -i openvpn
systemctl cat openvpn-server@server

Liest ExecStart= an der Ausgab. Et nennt d’ausféierbar Datei an d’Optiounen déi de Manager tatsächlech startt, inklusiv all --config Pad; eng Konfiguratiounsdatei déi dernieft läit an op déi kee Befehl verweist, gehéiert net zum lafenden Tunnel.

Verfollegt d’Konfiguratiounsketten déi den Daemon opgeléist huet

OpenVPN scannt keen Repertoire no Astellungen. Et liest d’Datei déi mat --config iwwergi gëtt, verfollegt all config Direktiven dran, an applizéiert dann d’Kommandozeilenoptiounen. D’Handbuch 2.6 beschreift déi Reihenfolg, an dat zielt wann zwee Dateien sech iwwer Port, Apparat oder Verschlësselung net eens sinn.

Gitt fir d’éischt den effektiven Opruff aus, kuckt dann d’Direktiven déi Identitéit an Erreechbarkeet entscheeden. Béid Befehle si just-Lies a sécher op engem liewegen Server, och wann den zweete Paden dréckt déi Dir vläicht net an engem ëffentlechen Ticket wëllt.

systemctl show -p ExecStart --value openvpn-server@server
grep -E '^(config|dev|proto|port|local|log|log-append|status|ca|cert|key|tls-auth|tls-crypt)' /etc/openvpn/server/server.conf

Eng .ovpn-Datei an engem Home-Repertoire ass e Client-Artefakt. Den Server-Daemon liest se ni, also bréngt et näischt déi Datei z’änneren fir e server-säitegen Handshake-Fehler ze fixéieren.

D’Inklusioune sinn déi aner Fall. Eng config-Zeile zitt eng zweet Datei eran, där hir Optiounen op där Plaz verschafft ginn, also kann eng spéider Eenheetwäert-Direktiv iwwerschreiwen wat d’Haaptdatei schäinbar seet. Wann déi siichtbar Datei richteg ausgesäit an den Daemon sech nach ëmmer anescht behëlt, liest déi inklusiv Datei ier Dir eppes ännert.

Passt de Log un de Prozess un, net un de Feeler deen Dir erënnert

Zwee Log-Ziler sinn heefeg, an just ee dovun ass de Journal. Mat log-append gesäit den Daemon an déi Datei a de Journal hält wéineg iwwer Startzeilen eraus. Ouni dat ass journalctl d’Quell vun den Evenementer.

journalctl -u openvpn-server@server -n 80 --no-pager

Korreléiert ee Verbindungsversuch mat engem Zäitfenster. Notéiert den Endpunkt vum Client, liest dann Server-Evenementer aus deene selwechte Sekonnen. En TLS-Handshake deen ni bis zum Zertifikatsaustausch kënnt weist op Erreechbarkeet oder Protokoll-Onstëmmegkeet, während eng Authentifikatiouns-Oflehnung kënnt nodeems d’Tunnelparameter scho ausgemaach sinn.

En ale Log-Entrée beweist näischt iwwer e Profil deen Dir viru fënnef Minutten erofgelueden hutt. Generéiert d’Clientdatei nei, verbinnt iech eng Kéier, a liest nëmmen d’Zeilen déi während deem Versuch erschéngen.

Notéiert deen éischte konkrete Feeler, net de leschten allgemengen. E Bind-Fehler, een onbeäntwerten äusseren Austausch, eng Zertifikats-Oflehnung an eng Kont-Oflehnung schécken iech all op eng aner Schicht, an en Timeout um Enn verstoppt dacks den nénglechen Evenement driwwer.

Den Tunnel nei bauen ass kee diagnostesche Schrëtt

Den verlockende Kierzwee ass en zweeten, méi einfachen Tunnel opzestellen: statesche Schlëssel, keng Zertifikater, keng zousätzlech Authentifikatioun. Et wäert dacks verbannen, an et beweist just datt zwee Hosten UDP oder TCP tëschent sech kënne weiderginn. Et seet näischt iwwer firwat d’Zertifikat-authentifizéiert Deploiement feelt, an et ersetzt roueg de Sécherheetsmodell deen Dir sollt bäibehalen.

Datselwecht gëllt fir tls-auth oder tls-crypt auszeschalten, verify-x509-name ze lockeren, oder en zweeten Faktor ewech ze loossen fir e grénge Status. En Tunnel deen verbënnt well d’Verifikatioun ewechgeholl gouf ass en anert System, net engem reparéierten.

Maacht eng eenzeg limitéiert Ännerung an der Schicht déi de Log genannt huet, start de selwechten Eenheet nei, a widderhëlt deen eenzegen Verbindungsversuch. Dat hält de Verglach éierlech, an et léisst eng Ännerung déi Dir zréckzitt kënnt.

Wat Dir der nächster Persoun gitt

Schreift véier Fakten op soulaang Dir se nach hutt: d’OpenVPN-Versioun aus openvpn --version, déi aktiv Eenheet, d’Konfiguratiounsketten mat hiren Inklusiounen, an d’Log-Fënster déi een Versuch deckt. Déi véier maachen aus enger vag Beschwer engem reproduzéierbare Fall.

Schwärzt ier Dir deelt. Privat Schlësselen, auth-user-pass-Dateien, statescht Schlësselmaterial a komplett Client-Bundlen gehéieren net an en Ticket; Optiounsnummen an d’Form vun der Ketten sinn normalerweis genuch fir en zweet Paar Aen.

Wann d’Ketten intakt ass an de Log nach ëmmer op d’Netzwierk weist, ass den nächste Schrëtt de Wee tëschent Client a Server amplaz vun enger anerer Installatioun. Dat ass deen eenzegen Deel vun der Geschicht deen den Helfer ni besëtzt huet.