Netgear OpenVPN: TUN и TAP слушаат на различни порти

Телефон се поврзува со VPN-то на рутерот без никаква жалба, а лаптоп со профил од истата страница за преземање истекува. Ништо во сертификатите не се промени меѓу тие два обиди, бидејќи лаптопот никогаш не стигна до точката каде сертификатите се важни. Рутерот објавува одделни слушатели за TUN и TAP, а работниот профил мора да го избере оној што му припаѓа на неговиот сопствен тип уред.

Да се одлучи која од трите можни дефекти да се следи е целата работа овде: портата, типот на уред или преговарањето на шифрата на податочниот канал.

Три работи што мора да се совпаднат

Типот на уред, линијата за интерфејс на профилот и портата на слушателот сочинуваат еден избор, не три. Профил што декларира dev tun и е насочен кон слушателот TAP не може да ја заврши сесијата, а обратното пропаѓа исто така. За вашиот модел и фирмвер, читајте ја портата од сопствената VPN-страница на рутерот, а не од водич, бидејќи броевите се менуваат меѓу верзиите. Запишете го моделот и верзијата на фирмверот до тој број за следниот човек да може да го провери.

Извештаите од теренот споменуваат пар како 12973 за TUN и 12974 за TAP на еден фирмвер, и различен број на друг. Читајте ги како доказ дека верзиите се разликуваат, а не како константи за копирање. Потоа на профилот му треба име на домаќин соодветно на растојанието: динамичното DNS-име на рутерот наместо WAN-адреса што ќе се промени.

По исправувањето на портата и линијата за интерфејс, профилот изгледа како нормална клиентска конфигурација со една remote-линија и една dev-линија. Ако двете не се совпаѓаат, никакво повторување не создава сесија.

Читајте го дневникот по редоследот по кој се печати

Клиентот на OpenVPN пријавува настани по редоследот по кој се случуваат, така што последната линија пред тишината го означува слојот што треба да се прегледа. Кога извршувањето завршува на TLS Error: TLS key negotiation failed, или едноставно чека прв одговор и се откажува, споредбата на сертификати никогаш не се случила. Тоа укажува на достапност, на слушателот или на порта зад која нема ништо. Ниту едно од тоа не се поправа со замена на CA-датотеката.

Извршување што стигнува до VERIFY OK и потоа пропаѓа се наоѓа сосема на друго место, со свои причини. Одвојувањето на тие два исхода пред да се допрат датотеки го спречува класичниот обиколен пат низ пакети сертификати што никогаш не биле прашани. Кога ракувањето е завршено, но тунелот не крева, гледајте го преговарањето на шифрата наместо достапноста.

Додајте ја листата на шифри што ја очекува современ клиент

Последните клиенти на OpenVPN одбиваат стари стандардни вредности што фирмверот на потрошувачките уреди сѐ уште ги нуди, а симптомот е неуспех во преговарањето веднаш по успешно ракување. Поправката е една линија во профилот што го именува она што клиентот ќе го прифати: поставете data-ciphers на AES-256-GCM, AES-128-GCM, CHACHA20-POLY1305 и AES-128-CBC по тој редослед. Секој алгоритам што рутерот не го спроведува едноставно никогаш не се избира, така што подолгата листа не чини ништо освен малку подолго преговарање.

Набројувањето шифри не го учи рутерот на онаа што ја нема. Ако преговарањето сѐ уште не успева, проверете дали страницата на рутерот има сопствено поставување за шифра и дали тоа поставување вклучува барем еден запис што клиентот го прифаќа. Две листи без заеднички член даваат точно ист неуспех како погрешна порта, затоа и двата краја заслужуваат поглед.

Увезете еднаш наместо рачно да уредувате копии

Увезувањето на исправената датотека во NetworkManager избегнува папка полна со малку различни профили: nmcli connection import type openvpn file client.ovpn, потоа подигнете го по име. Чувајте го увезениот профил како единствена копија што ја уредувате, и бришете ги дупликатите што се собираат од повторени преземања.

Потоа тестирајте од надвор од LAN. Поврзувањето од истата мрежа докажува многу малку, бидејќи сообраќајот може воопшто да не помине низ тунелот. Потврдете дека барањето навистина излегува низ рутерот, а не само дека клиентот покажува поврзана состојба.

Одлучете што да правите со предупредувањата

Фирмверот на потрошувачките уреди обично создава сопствено тело за сертификати, а клиентите се жалат на проверката на начини што фирмверот не може да ги потисне. Проценете дали таа жалба е важна за она што го штитите, наместо секое предупредување да го третирате како фатално, и не исклучувајте ја проверката глобално за да замолчите една порака. Предупредување што сте го процениле е документиран ризик; исклучено поставување за проверка е недокументирано.

Кога фирмверот не нуди поддржан начин да се исправи предупредување што навистина е важно, тој јаз зборува во прилог на хостирање на VPN-от на друго место. Изборот меѓу поправка на профилот, прифаќање на предупредувањето и преместување на крајната точка е одлука за тоа колку му верувате на тој сертификат. Донесете ја свесно и запишете која опција ја избравте, наместо да кликате низ дијалози додека иконата не стане зелена.