Netgear OpenVPN: TUN ir TAP klausosi skirtinguose portuose

Telefonas be jokių nusiskundimų prisijungia prie maršrutizatoriaus VPN, o nešiojamasis kompiuteris su profiliu iš to paties atsisiuntimo puslapio sulaukia laiko limito. Tarp šių dviejų bandymų sertifikatų srityje niekas nepasikeitė, nes nešiojamasis kompiuteris niekada nepasiekė taško, kuriame sertifikatai turi reikšmės. Maršrutizatorius skelbia atskirus klausytojus TUN ir TAP, o veikiantis profilis turi pasirinkti tą, kuris priklauso jo paties įrenginio tipui.

Nuspręsti, kurio iš trijų galimų gedimų vytis, čia yra visas darbas: porto, įrenginio tipo ar duomenų kanalo šifro derėjimosi.

Trys dalykai, kurie turi sutapti

Įrenginio tipas, profilio sąsajos eilutė ir klausytojo portas sudaro vieną pasirinkimą, o ne tris. Profilis, deklaruojantis dev tun ir nukreiptas į TAP klausytoją, negali užbaigti sesijos, o atvirkščiai nepavyksta taip pat. Savo modeliui ir programinei įrangai portą skaitykite pačiame maršrutizatoriaus VPN puslapyje, o ne vadove, nes numeriai keičiasi tarp versijų. Užrašykite modelį ir programinės įrangos versiją šalia to numerio, kad kitas žmogus galėtų patikrinti.

Lauko ataskaitose minimos poros, pavyzdžiui, 12973 TUN ir 12974 TAP vienoje programinėje įrangoje, o kitoje – kitas numeris. Skaitykite tai kaip įrodymą, kad versijos skiriasi, o ne kaip kopijuojamas konstantas. Tada profiliui reikia atstumui tinkamo pagrindinio kompiuterio vardo: dinaminio maršrutizatoriaus DNS vardo, o ne WAN adreso, kuris pasikeis.

Pataisius portą ir sąsajos eilutę, profilis atrodo kaip įprasta kliento konfigūracija su viena remote eilute ir viena dev eilute. Jei šios dvi nesutampa, joks kartojimų skaičius nesukuria sesijos.

Skaitykite žurnalą ta tvarka, kuria jis spausdinamas

OpenVPN klientas praneša įvykius ta tvarka, kuria jie vyksta, todėl paskutinė eilutė prieš tylą nurodo, kurį sluoksnį tikrinti. Kai vykdymas baigiasi TLS Error: TLS key negotiation failed, arba tiesiog laukia pirmo atsakymo ir pasiduoda, sertifikatų palyginimas niekada neįvyko. Tai rodo pasiekiamumą, klausytoją arba portą, už kurio nieko nėra. Nė vieno iš jų nepataiso CA failo pakeitimas.

Vykdymas, kuris pasiekia VERIFY OK ir tada nepavyksta, yra visai kitur, su savo priežastimis. Šių dviejų baigčių atskyrimas prieš liečiant failus apsaugo nuo klasikinio apylankos kelio per sertifikatų paketus, kurių niekada nebuvo klausta. Kai rankos paspaudimas baigtas, bet tunelis nekeliamas, žiūrėkite į šifro derėjimąsi, o ne į pasiekiamumą.

Pridėkite šifrų sąrašą, kurio tikisi šiuolaikinis klientas

Naujausi OpenVPN klientai atsisako senų numatytųjų reikšmių, kurias buitinė programinė įranga vis dar siūlo, o simptomas – derėjimosi nesėkmė iškart po sėkmingo rankos paspaudimo. Pataisa – viena profilio eilutė, nurodanti, ką klientas priims: nustatykite data-ciphers į AES-256-GCM, AES-128-GCM, CHACHA20-POLY1305 ir AES-128-CBC šia tvarka. Bet kuris algoritmas, kurio maršrutizatorius neįgyvendina, tiesiog niekada nepasirenkamas, todėl ilgesnis sąrašas kainuoja tik šiek tiek ilgesnį derėjimąsi.

Šifrų išvardijimas neišmoko maršrutizatoriaus to, ko jis neturi. Jei derėjimasis vis dar nepavyksta, patikrinkite, ar maršrutizatoriaus puslapyje yra savas šifro nustatymas ir ar jame yra bent vienas įrašas, kurį klientas priima. Du sąrašai be bendro elemento duoda lygiai tokią pat nesėkmę kaip neteisingas portas, todėl abu galai verti žvilgsnio.

Importuokite kartą, o ne redaguokite kopijas ranka

Pataisyto failo importavimas į NetworkManager išvengia aplanko, pilno šiek tiek skirtingų profilių: nmcli connection import type openvpn file client.ovpn, tada įkelkite jį pagal pavadinimą. Laikykite importuotą profilį vienintele kopija, kurią redaguojate, ir ištrinkite dublikatus, besikaupiančius dėl pakartotinių atsisiuntimų.

Tada išbandykite už LAN ribų. Prisijungimas iš to paties tinklo įrodo labai mažai, nes srautas gali visai neiti per tunelį. Patvirtinkite, kad užklausa tikrai išeina per maršrutizatorių, o ne tik kad klientas rodo prisijungusią būseną.

Nuspręskite, ką daryti su įspėjimais

Buitinė programinė įranga paprastai sukuria savo sertifikatų instituciją, o klientai skundžiasi patikra taip, kad programinė įranga negali to nuslopinti. Įvertinkite, ar tas skundas svarbus tam, ką saugote, o ne laikykite kiekvieno įspėjimo mirtinu, ir neišjunkite patikros visame pasaulyje, kad nutildytumėte vieną pranešimą. Įvertintas įspėjimas yra dokumentuota rizika; išjungtas patikros nustatymas – nedokumentuota.

Kai programinė įranga nesiūlo jokio palaikomo būdo ištaisyti įspėjimą, kuris tikrai svarbus, ši spraga byloja už VPN talpinimą kitur. Pasirinkimas tarp profilio taisymo, įspėjimo priėmimo ir galinio taško perkėlimo yra sprendimas apie tai, kiek pasitikite tuo sertifikatu. Priimkite jį sąmoningai ir užsirašykite, kurį variantą pasirinkote, o ne spauskite dialogus, kol piktograma taps žalia.