Kodėl OpenVPN profilis neimportuojamas į SoftEther

Du failai, kurie abu atrodo kaip VPN konfigūracija, patenka į tą patį aplanką, ir veikia tik vienas iš jų. OpenVPN profilis aprašo TLS tunelį su direktyvomis, kurias tas klientas supranta, o SoftEther ryšys aprašo sesiją su virtualiu mazgu pagal kitokią autentifikavimo sutartį. Konvertuoti vieną į kitą nėra formatavimo pratimas, nes abu klientai neįgyvendina to paties protokolo. Nustačius, kokią paslaugą operatorius iš tikrųjų paskelbė, sprendžiama viskas, kas toliau.

Du failai, dvi sutartys

OpenVPN profilis yra kliento konfigūracija: nuotolinis galinis taškas, transportas, TLS medžiaga ir direktyvos maršrutizavimui bei pakartotinėms deryboms. SoftEther ryšys yra vietinė kliento sesija su virtualiu mazgu, prie kurio prijungtas virtualus adapteris.

Jie gali aprašyti prieigą prie to paties tinklo, nors nėra pakeičiami. OpenVPN klausytuvas yra suderinamumo funkcija, kurią serveris gali paskelbti atskirame porte, ir jis kalba OpenVPN, o ne vietiniu protokolu. Vietinis klientas kalba vietiniu protokolu ir tikisi savo profilio. Vienas serveris, dvejos durys, ir kiekvienos durys turi savo raktą.

Failo plėtinys beveik nieko nesako, todėl operatoriaus atsakymas svarbesnis už failo pavadinimą.

Perskaitykite serverį prieš liesdami sertifikato bloką

Paklauskite operatoriaus trijų dalykų: kuris portas ir transportas, kuris autentifikavimo metodas ir kurio kliento jie tikisi. Šie atsakymai pašalina didžiąją dalį spėliojimų.

Tada patvirtinkite, kas iš tikrųjų klausosi, o ne ką teigia vadovas. Išjungtas suderinamumo klausytuvas nieko nerodo savo porte, o įjungtas rodo lizdą net kai niekas niekada nebuvo prisijungęs. Skirtumas tarp uždaro porto ir atmesto prisijungimo yra pirmoji naudinga diagnostika. Viskas po to priklauso nuo to, į kurias duris pasibelsta.

ss -lunp | grep -E ':1194|:443'
sudo ss -ltnp | grep -E ':992|:5555'
grep -nE '^(remote|proto|auth-user-pass|ca |cert |key )' profile.ovpn

UDP portas, kurio nėra klausytuvų sąraše, yra išjungta funkcija, o ne ugniasienės problema.

Ko reikia vietiniam klientui ir ko profilis negali duoti

Vietinis klientas įdiegia virtualų tinklo adapterį ir prie jo pririša ryšį. Be to adapterio nėra sąsajos maršrutizuoti, todėl vietinis ryšys gali autentifikuotis ir vis tiek neperduoti jokio srauto.

Vietinė autentifikacija vyksta su virtualiu mazgu, naudojant vartotojo objektą, kurį sukūrė mazgo administratorius. Sertifikato blokai, nukopijuoti iš OpenVPN profilio, netampa mazgo vartotojais, o mazgo vartotojas netampa kliento sertifikatu. Abi sistemos saugo skirtingus dalykus, ir profilis neturi kur įdėti mazgo vartotojo įrašo. Tai struktūrinis skirtumas, o ne sintaksės problema.

Laikykite privatų raktą atokiai nuo bet kokios konvertavimo paslaugos, nes raktas, palikęs mašiną, turi būti laikomas atskleistas.

Ką priima su OpenVPN suderinamas klausytuvas

Suderinamumo klausytuvas kliento požiūriu yra tikras OpenVPN serveris: jis tikisi OpenVPN kliento ir direktyvų, kurias tas klientas palaiko. Įterptieji sertifikato blokai yra OpenVPN funkcija, ir jie priklauso tai tvoros pusei.

Ko jis nepadarys, tai nepriims vietinio SoftEther profilio, nes tas profilis nėra OpenVPN konfigūracija. Klausytuvas taip pat nepaverčia vietinio kliento OpenVPN klientu. Jei operatorius siūlo tik vietinę paslaugą, atsakymas yra vietinis klientas; jei jis siūlo suderinamumo klausytuvą, atsakymas yra OpenVPN ir jo paties medžiaga.

Paprašykite operatoriaus palaikomo eksporto vietoj to, kad rinktumėte jį iš fragmentų, nes eksportas turi detalių, kurių rankomis sukurtas failas paprastai praleidžia.

Įrodykite kelią prieš redaguodami direktyvas

Kai klientas pasirinktas, išbandykite tunelį prieš liesdami maršrutus. Sėkmingas prisijungimas ir sąsaja, perduodanti srautą, yra du skirtingi rezultatai.

sudo openvpn --config profile.ovpn --verb 3
ip -br addr
ip route get 10.70.4.20
resolvectl status | grep -A2 'DNS Servers'

Palyginkite priskirtą adresą su telkiniu, kurį aprašė operatorius, tada atskirai pažiūrėkite į maršrutus ir sprendiklį. Vietinis mazgo ryšys gali švariai autentifikuotis ir visai neįdiegti maršrutų, o tai kliento pusėje atrodo kaip sulaužytas tunelis. Tik kai šie trys sutampa, verta redaguoti direktyvą. Ankstesnis redagavimas paslepia, kuris sluoksnis buvo neteisingas.