Kāpēc OpenVPN profils netiek importēts SoftEther

Divi faili, kas abi izskatās pēc VPN konfigurācijas, nonāk vienā mapē, un darbojas tikai viens no tiem. OpenVPN profils apraksta TLS tuneli ar direktīvām, ko šis klients saprot, bet SoftEther savienojums apraksta sesiju pret virtuālu mezglu ar citādu autentifikācijas līgumu. Vienu pārvērst otrā nav formatēšanas vingrinājums, jo abi klienti neīsteno vienu un to pašu protokolu. Tas, kuru pakalpojumu operators patiešām publicēja, nosaka visu turpmāko.

Divi faili, divi līgumi

OpenVPN profils ir klienta konfigurācija: attāls galapunkts, transports, TLS materiāls un direktīvas maršrutēšanai un atkārtotām pārrunām. SoftEther savienojums ir vietēja klienta sesija pret virtuālu mezglu, kam pievienots virtuāls adapteris.

Tie var aprakstīt piekļuvi vienam un tam pašam tīklam, lai gan nav savstarpēji aizstājami. OpenVPN klausītājs ir saderības funkcija, ko serveris var publicēt atsevišķā portā, un tas runā OpenVPN, nevis vietējo protokolu. Vietējais klients runā vietējo protokolu un gaida savu profilu. Viens serveris, divas durvis, un katrām durvīm ir sava atslēga.

Faila paplašinājums gandrīz neko nepasaka, tāpēc operatora atbilde ir svarīgāka par faila nosaukumu.

Izlasi serveri, pirms aiztiec sertifikāta bloku

Pajautā operatoram trīs lietas: kurš ports un transports, kura autentifikācijas metode un kuru klientu viņi gaida. Šīs atbildes novērš lielāko daļu minējumu.

Pēc tam pārbaudi, kas patiešām klausās, nevis ko apgalvo pamācība. Izslēgts saderības klausītājs savā portā neko nerāda, bet ieslēgts rāda ligzdu pat tad, ja neviens nekad nav pieslēdzies. Atšķirība starp slēgtu portu un atteiktu pieteikšanos ir pirmā noderīgā diagnostika. Viss pēc tam atkarīgs no tā, kurās durvīs klauvēja.

ss -lunp | grep -E ':1194|:443'
sudo ss -ltnp | grep -E ':992|:5555'
grep -nE '^(remote|proto|auth-user-pass|ca |cert |key )' profile.ovpn

UDP ports, kas trūkst klausītāju sarakstā, ir izslēgta funkcija, nevis ugunsmūra problēma.

Kas vietējam klientam vajadzīgs un ko profils nevar dot

Vietējais klients instalē virtuālu tīkla adapteri un piesaista tam savienojumu. Bez šī adaptera nav saskarnes, pa kuru maršrutēt, tāpēc vietējs savienojums var autentificēties un tomēr nepārvadāt nekādu satiksmi.

Vietējā autentifikācija notiek pret virtuālu mezglu, izmantojot lietotāja objektu, ko izveidojis mezgla administrators. Sertifikāta bloki, kas nokopēti no OpenVPN profila, nekļūst par mezgla lietotājiem, un mezgla lietotājs nekļūst par klienta sertifikātu. Abas sistēmas glabā atšķirīgas lietas, un profilam nav kur ievietot mezgla lietotāja ierakstu. Tā ir strukturāla atšķirība, nevis sintakses problēma.

Turiet privāto atslēgu prom no jebkura konvertēšanas pakalpojuma, jo atslēga, kas atstājusi mašīnu, ir uzskatāma par atklātu.

Ko pieņem ar OpenVPN saderīgais klausītājs

Saderības klausītājs no klienta viedokļa ir īsts OpenVPN serveris: tas gaida OpenVPN klientu un direktīvas, ko šis klients atbalsta. Iekļautie sertifikāta bloki ir OpenVPN funkcija, un tie pieder tai žoga pusei.

Ko tas nedarīs, ir nepieņems vietēju SoftEther profilu, jo šis profils nav OpenVPN konfigurācija. Klausītājs arī nepārvērš vietējo klientu par OpenVPN klientu. Ja operators piedāvā tikai vietējo pakalpojumu, atbilde ir vietējais klients; ja viņš piedāvā saderības klausītāju, atbilde ir OpenVPN un tā paša materiāls.

Prasiet operatora atbalstīto eksportu tā vietā, lai saliktu to no fragmentiem, jo eksports satur detaļas, ko ar rokām būvēts fails parasti izlaiž.

Pierādiet ceļu pirms direktīvu rediģēšanas

Kad klients izvēlēts, pārbaudiet tuneli pirms maršrutu aiztikšanas. Veiksmīga pieteikšanās un saskarne, kas pārvadā satiksmi, ir divi atšķirīgi rezultāti.

sudo openvpn --config profile.ovpn --verb 3
ip -br addr
ip route get 10.70.4.20
resolvectl status | grep -A2 'DNS Servers'

Salīdziniet piešķirto adresi ar kopu, ko aprakstījis operators, tad atsevišķi apskatiet maršrutus un risinātāju. Vietējs mezgla savienojums var tīri autentificēties un vispār neinstalēt maršrutus, kas no klienta puses izskatās kā salauzts tunelis. Tikai kad šie trīs sakrīt, ir vērts rediģēt direktīvu. Agrāka rediģēšana paslēpj, kurš slānis bija nepareizs.