DD-WRT OpenVPN 2.5 klausītājs ir miris? Izlasiet ģenerēto konfigurāciju

Miris klausītājs DD-WRT parasti nozīmē, ka dēmons izgāja, analizējot savu konfigurāciju, nevis to, ka ugunsmūra noteikums bloķēja portu. OpenVPN 2.5 pastiprināja vairākas noklusējuma vērtības, uz kurām paļāvās vecākas konfigurācijas, un ģenerēta konfigurācija, kas darbojās vecākā versijā, var tikt noraidīta pirms ligzdas atvēršanas. Iemesls ir paša maršrutētāja žurnālā, un ievade ir ģenerētajā failā. Abus šādā secībā lasīt ir ātrāk nekā jebkura pakešu uztveršana.

Dēmons nav ugunsmūris

Atšķirība ir svarīga, jo no ārpuses abas kļūmes izskatās vienādi: klients sūta rokasspiedienu un neko nesaņem atpakaļ. Viens ir process, kas nedarbojas, bet otrs ir process, kas darbojas un filtrē.

Atdaliet tos ar divām pārbaudēm, pirms kaut ko maināt, jo ugunsmūra labojums mirušam dēmonam tikai pievieno otru mainīgo.

Izlasiet konfigurāciju, ko DD-WRT ģenerēja

DD-WRT nenodod OpenVPN tekstu, ko ievadījāt tīmekļa saskarnē. Tas ieraksta ģenerētu konfigurāciju /tmp/openvpn/openvpn.conf un palaiž dēmonu ar šo failu, tāpēc saskarnes lauki un jebkurš Additional Config teksts tiek apvienoti, pirms OpenVPN tos redz. Ja atkļūdojat veidlapu, nevis ģenerēto failu, jūs lasāt nodomu, nevis faktisko ievadi. Nokopējiet šo failu pastāvīgā vietā, pirms restartēšana /tmp iztīra.

Salīdziniet ģenerēto failu ar to, ko bijāt iecerējis, jo īpaši tur, kur saskarne ieraksta direktīvu, ko nekad neesat izvēlējies. Nolaižamā izvēlne, kas izdod novecojušu opciju, veidlapā nav redzama un dēmonam ir nāvējoša.

Ja ģenerētais fails ir tukšs vai tā nav, dēmons pat nav sasniedzis palaišanu, un problēma ir pirms OpenVPN.

Ko OpenVPN 2.5 pārstāja pieņemt

OpenVPN 2.5 aizstāja ncp-ciphers ar data-ciphers, un paaugstināja noklusējuma minimālo TLS versiju uz 1.2. Tas arī mainīja saspiešanas apstrādi, tāpēc partneris, kas piedāvā saspiešanu, tiek noraidīts, ja vien konfigurācija to neparedz skaidri, un tas atzina par novecojušiem vecākus opciju nosaukumus, piemēram, ns-cert-type par labu remote-cert-tls. Katra no šīm izmaiņām pārvērš iepriekš strādājošu konfigurāciju analīzes vai sarunu kļūmē.

Kļūmes veids atkarīgs no direktīvas. Nezināma vai noņemta opcija aptur dēmonu palaišanas laikā, tas ir jūsu mirušais klausītājs. Sarunu nesakritība ļauj dēmonam darboties un noraida klientus, kas no klienta puses izskatās kā ugunsmūra problēma.

Lasiet pirmo kļūdu žurnālā, nevis pēdējo. Analīze apstājas pie pirmās sliktās direktīvas, un viss pēc tam ir izslēgšanas troksnis.

Broadcom raksturīgie priekšnosacījumi

Broadcom versijās tuneļa ierīcei jābūt pirms dēmons to var izmantot. Pārbaudiet, vai tun modulis ir ielādēts un vai /dev/net/tun ir, jo trūkstoša ierīce rada palaišanas kļūmi, kam nav nekāda sakara ar sertifikātiem. Tas pats attiecas uz palīgskriptiem, ko DD-WRT ģenerē maršrutiem un DNS: ja to nav vai tie nav izpildāmi, dēmons var palaisties un tomēr nepabeigt savu iestatīšanu.

Kad vajag īsto ziņojumu, palaidiet dēmonu priekšplānā ar lielāku detalizāciju uz ģenerēto konfigurāciju. Palaišana priekšplānā izdrukā analīzes kļūdu, ko init skripts aprīja.

Pēc tam atjaunojiet parasto servisu, jo priekšplāna dēmons un init skripts cīnīsies par portu.

Pierādiet, ka klausītājs eksistē, pirms atkļūdojat klientus

Apstipriniet procesu un ligzdu atsevišķi: viena komanda darbojošam dēmonam, otra — piesaistītam UDP portam paredzētajā adresē. Process bez ligzdas nozīmē, ka tas vēl tiek iestatīts vai piesaistīts nepareizai saskarnei. Šis pāris ir noderīgs tests tieši tāpēc, ka viena puse nevar būt patiesa bez otras.

Klienta puses atkļūdošana ir jēgpilna tikai pēc tam, kad klausītājs eksistē. Tad pārbaudiet, vai klienta šifrs un TLS iestatījumi atbilst servera data-ciphers sarakstam un minimālajai versijai, un vai ports tiešām tiek pāradresēts uz maršrutētāju.

Saglabājiet ģenerēto konfigurāciju un žurnāla rindu, kas pierādīja labojumu. Nākamais aparātprogrammatūras atjauninājums var atkal mainīt noklusējumus, un tieši šis ieraksts pārvērš atkārtošanos piecu minūšu pārbaudē.