DD-WRT OpenVPN 2.5 klausytojas mirė? Perskaitykite sugeneruotą konfigūraciją

Negyvas klausytojas DD-WRT paprastai reiškia, kad daemonas išėjo analizuodamas savo konfigūraciją, o ne tai, kad ugniasienės taisyklė užblokavo prievadą. OpenVPN 2.5 sugriežtino keletą numatytųjų reikšmių, kuriomis rėmėsi senesnės konfigūracijos, ir sugeneruota konfigūracija, kuri veikė senesnėje versijoje, gali būti atmesta dar neatsidarius lizdui. Priežastis yra paties maršrutizatoriaus žurnale, o įvestis – sugeneruotame faile. Abu perskaityti tokia tvarka greičiau nei bet koks paketų fiksavimas.

Daemonas nėra ugniasienė

Skirtumas svarbus, nes iš išorės abi gedimai atrodo vienodai: klientas siunčia rankos paspaudimą ir nieko negauna. Vienas yra procesas, kuris neveikia, o kitas – procesas, kuris veikia ir filtruoja.

Atskirkite juos dviem patikromis prieš ką nors keisdami, nes ugniasienės keitimas mirusiam daemonui tik prideda antrą kintamąjį.

Perskaitykite DD-WRT sugeneruotą konfigūraciją

DD-WRT neperduoda OpenVPN teksto, kurį įvedėte žiniatinklio sąsajoje. Jis įrašo sugeneruotą konfigūraciją į /tmp/openvpn/openvpn.conf ir paleidžia daemoną su tuo failu, todėl sąsajos laukai ir bet koks Additional Config tekstas sujungiami prieš OpenVPN juos pamatant. Jei derinate formą, o ne sugeneruotą failą, skaitote ketinimą, o ne tikrąją įvestį. Nukopijuokite tą failą į nuolatinę vietą, kol perkrovimas /tmp neišvalys.

Palyginkite sugeneruotą failą su tuo, ką ketinote, ypač ten, kur sąsaja įrašo direktyvą, kurios niekada nepasirinkote. Išskleidžiamasis sąrašas, išduodantis pasenusią parinktį, formoje nematomas ir daemonui mirtinas.

Jei sugeneruotas failas tuščias arba jo nėra, daemonas net nepasiekė paleidimo, o problema yra aukščiau OpenVPN.

Ko OpenVPN 2.5 nustojo priimti

OpenVPN 2.5 pakeitė ncp-ciphers į data-ciphers, ir pakėlė numatytąją minimalią TLS versiją iki 1.2. Jis taip pat pakeitė suspaudimo apdorojimą, todėl partneris, siūlantis suspaudimą, atmetamas, nebent konfigūracija tai aiškiai leidžia, ir paskelbė pasenusiais senesnius parinkčių pavadinimus, tokius kaip ns-cert-type vietoj remote-cert-tls. Kiekvienas iš šių pakeitimų paverčia anksčiau veikusią konfigūraciją analizės arba derybų gedimu.

Gedimo būdas priklauso nuo direktyvos. Nežinoma arba pašalinta parinktis sustabdo daemoną paleidžiant, tai jūsų negyvas klausytojas. Derybų nesutapimas leidžia daemonui veikti ir atmeta klientus, o tai iš kliento pusės atrodo kaip ugniasienės problema.

Skaitykite pirmąją žurnalo klaidą, o ne paskutinę. Analizė sustoja ties pirmąja bloga direktyva, o viskas po jos yra išjungimo triukšmas.

Broadcom būdingos prielaidos

Broadcom versijose tunelio įrenginys turi egzistuoti prieš daemonui jį naudojant. Patikrinkite, ar tun modulis įkeltas ir ar /dev/net/tun yra, nes trūkstamas įrenginys sukelia paleidimo gedimą, neturintį nieko bendra su sertifikatais. Tas pats galioja pagalbiniams scenarijams, kuriuos DD-WRT generuoja maršrutams ir DNS: jei jų nėra arba jie nevykdomi, daemonas gali pasileisti ir vis tiek nebaigti savo nustatymo.

Kai jums reikia tikrojo pranešimo, paleiskite daemoną priekiniame plane su didesniu išsamumu pagal sugeneruotą konfigūraciją. Paleidimas priekiniame plane atspausdina analizės klaidą, kurią prarijo init scenarijus.

Tada atkurkite įprastą paslaugą, nes priekiniame plane veikiantis daemonas ir init scenarijus kovos dėl prievado.

Įrodykite, kad klausytojas egzistuoja, prieš derindami klientus

Patvirtinkite procesą ir lizdą atskirai: viena komanda veikiančiam daemonui, kita – susietam UDP prievadui laukiamu adresu. Procesas be lizdo reiškia, kad jis dar nustatomas arba susietas su netinkama sąsaja. Ši pora yra naudingas testas būtent todėl, kad viena pusė negali būti teisinga be kitos.

Kliento pusės derinimas prasmingas tik tada, kai klausytojas egzistuoja. Tada patikrinkite, ar kliento šifras ir TLS nustatymai atitinka serverio data-ciphers sąrašą ir minimalią versiją, ir ar prievadas tikrai perduodamas maršrutizatoriui.

Išsaugokite sugeneruotą konfigūraciją ir žurnalo eilutę, kuri įrodė pataisymą. Kitas programinės įrangos atnaujinimas vėl gali pakeisti numatytąsias reikšmes, ir būtent šis įrašas paverčia pasikartojimą penkių minučių patikra.