Netgear OpenVPN: TUN un TAP klausās dažādos portos

Tālrunis bez jebkādām sūdzībām pieslēdzas maršrutētāja VPN, bet klēpjdators ar profilu no tās pašas lejupielādes lapas nokavējas. Starp šiem diviem mēģinājumiem sertifikātos nekas nemainījās, jo klēpjdators nekad nesasniedza punktu, kurā sertifikātiem ir nozīme. Maršrutētājs publicē atsevišķus klausītājus TUN un TAP, un strādājošam profilam jāizvēlas tas, kas pieder pie sava ierīces tipa.

Izlemt, kuru no trim iespējamiem defektiem sekot, šeit ir viss darbs: ports, ierīces tips vai datu kanāla šifra saskaņošana.

Trīs lietas, kurām jāsakrīt

Ierīces tips, profila saskarnes rinda un klausītāja ports veido vienu izvēli, nevis trīs. Profils, kas deklarē dev tun un ir vērsts uz TAP klausītāju, nevar pabeigt sesiju, un otrādi tas neizdodas tāpat. Savam modelim un programmaparatūrai portu lasiet pašā maršrutētāja VPN lapā, nevis rokasgrāmatā, jo numuri mainās starp versijām. Pierakstiet modeli un programmaparatūras versiju blakus šim numuram, lai nākamā persona varētu to pārbaudīt.

Lauka ziņojumos minēts pāris, piemēram, 12973 TUN un 12974 TAP vienā programmaparatūrā, un cits numurs citā. Lasiet tos kā pierādījumu, ka versijas atšķiras, nevis kā kopējamas konstantes. Pēc tam profilam nepieciešams attālumam atbilstošs resursdatora nosaukums: maršrutētāja dinamiskais DNS nosaukums, nevis WAN adrese, kas mainīsies.

Pēc porta un saskarnes rindas izlabošanas profils izskatās kā parasta klienta konfigurācija ar vienu remote rindu un vienu dev rindu. Ja abas nesakrīt, nekāds atkārtojumu skaits nerada sesiju.

Lasiet žurnālu tādā secībā, kādā tas tiek izdrukāts

OpenVPN klients ziņo par notikumiem tādā secībā, kādā tie notiek, tāpēc pēdējā rinda pirms klusuma norāda pārbaudāmo slāni. Kad izpilde beidzas ar TLS Error: TLS key negotiation failed vai vienkārši gaida pirmo atbildi un padodas, sertifikātu salīdzināšana nekad nav notikusi. Tas norāda uz sasniedzamību, uz klausītāju vai uz portu, aiz kura nekā nav. Nevienu no tiem neizlabo CA faila aizstāšana.

Izpilde, kas sasniedz VERIFY OK un pēc tam neizdodas, atrodas pavisam citur, ar saviem cēloņiem. Šo divu iznākumu šķiršana pirms failu aizskaršanas novērš klasisko apkārtceļu caur sertifikātu paketēm, par kurām nekad netika jautāts. Kad rokas piespiešana ir pabeigta, bet tunelis neceļas, skatieties uz šifra saskaņošanu, nevis uz sasniedzamību.

Pievienojiet šifru sarakstu, ko sagaida mūsdienu klients

Jaunākie OpenVPN klienti atsakās no vecajām noklusējuma vērtībām, ko sadzīves programmaparatūra joprojām piedāvā, un simptoms ir saskaņošanas neveiksme uzreiz pēc veiksmīgas rokas piespiešanas. Labojums ir viena profila rinda, kas nosauc, ko klients pieņems: iestatiet data-ciphers uz AES-256-GCM, AES-128-GCM, CHACHA20-POLY1305 un AES-128-CBC šajā secībā. Jebkurš algoritms, ko maršrutētājs neievieš, vienkārši nekad netiek izvēlēts, tāpēc garāks saraksts neizmaksā neko, izņemot nedaudz garāku saskaņošanu.

Šifru uzskaitīšana neiemāca maršrutētājam to, kā tam nav. Ja saskaņošana joprojām neizdodas, pārbaudiet, vai maršrutētāja lapā ir sava šifra iestatījums un vai tajā ir vismaz viens ieraksts, ko klients pieņem. Divi saraksti bez kopīga elementa rada tieši tādu pašu neveiksmi kā nepareizs ports, tāpēc abi gali ir pelnījuši skatienu.

Importējiet vienreiz, nevis rediģējiet kopijas ar roku

Izlabotā faila importēšana NetworkManager izvairās no mapes, kas pilna ar nedaudz atšķirīgiem profiliem: nmcli connection import type openvpn file client.ovpn, pēc tam paceliet to pēc nosaukuma. Turiet importēto profilu kā vienīgo kopiju, ko rediģējat, un dzēsiet dublikātus, kas uzkrājas no atkārtotām lejupielādēm.

Pēc tam pārbaudiet ārpus LAN. Savienošanās no tā paša tīkla pierāda ļoti maz, jo datplūsma var vispār neiet caur tuneli. Pārliecinieties, ka pieprasījums tiešām iziet caur maršrutētāju, nevis tikai to, ka klients rāda savienotu stāvokli.

Izlemiet, ko darīt ar brīdinājumiem

Sadzīves programmaparatūra parasti izveido savu sertifikātu iestādi, un klienti sūdzas par pārbaudi tā, ka programmaparatūra to nevar nomākt. Vērtējiet, vai šī sūdzība ir svarīga tam, ko aizsargājat, nevis uzskatiet katru brīdinājumu par nāvējošu, un neizslēdziet pārbaudi globāli, lai apklusinātu vienu ziņojumu. Novērtēts brīdinājums ir dokumentēts risks; izslēgts pārbaudes iestatījums ir nedokumentēts.

Kad programmaparatūra nepiedāvā nevienu atbalstītu veidu, kā izlabot brīdinājumu, kam patiešām ir nozīme, šī plaisa runā par labu VPN mitināšanai citur. Izvēle starp profila labošanu, brīdinājuma pieņemšanu un galapunkta pārvietošanu ir lēmums par to, cik ļoti uzticaties šim sertifikātam. Pieņemiet to apzināti un pierakstiet, kuru variantu izvēlējāties, nevis klikšķiniet dialogus, kamēr ikona kļūst zaļa.