Зошто OpenVPN профилот не се увезува во SoftEther

Две датотеки што и двете личат на VPN конфигурација завршуваат во истата папка, а работи само една од нив. OpenVPN профилот опишува TLS тунел со директиви што тој клиент ги разбира, додека SoftEther врската опишува сесија спрема виртуелен центар со поинаков договор за автентикација. Претворањето на едното во другото не е вежба по форматирање, бидејќи двата клиенти не го спроведуваат истиот протокол. Утврдувањето која услуга операторот навистина ја објавил решава сето што следи.

Две датотеки, два договори

OpenVPN профилот е конфигурација на клиент: оддалечена крајна точка, транспорт, TLS материјал и директиви за рутирање и повторно договарање. SoftEther врската е нативна клиентска сесија спрема виртуелен центар, со виртуелен адаптер прикачен на неа.

Тие можат да опишат пристап до истата мрежа без да бидат заменливи. OpenVPN слушателот е функција за компатибилност што серверот може да ја објави на одделен порт, и тој зборува OpenVPN наместо нативниот протокол. Нативниот клиент зборува нативниот протокол и очекува сопствен профил. Еден сервер, две врати, и секоја врата има свој клуч.

Наставката на датотеката речиси ништо не ви кажува, затоа одговорот на операторот е поважен од името на датотеката.

Прочитајте го серверот пред да допрете блок со сертификат

Прашајте го операторот три работи: кој порт и транспорт, кој метод на автентикација и кој клиент очекуваат да користите. Тие одговори го отстрануваат најголемиот дел од погодувањето.

Потоа потврдете што навистина слуша, а не што тврди некој водич. Исклучен слушател за компатибилност не покажува ништо на својот порт, а вклучен покажува сокет дури и кога никој никогаш не се поврзал. Разликата меѓу затворен порт и одбиено најавување е првата корисна дијагностика. Сето потоа зависи од тоа на која врата се чукало.

ss -lunp | grep -E ':1194|:443'
sudo ss -ltnp | grep -E ':992|:5555'
grep -nE '^(remote|proto|auth-user-pass|ca |cert |key )' profile.ovpn

UDP порт што недостасува во списокот слушатели е исклучена функција, а не проблем со огнениот ѕид.

Што му треба на нативниот клиент и што профилот не може да му даде

Нативниот клиент инсталира виртуелен мрежен адаптер и врзува врска за него. Без тој адаптер нема интерфејс низ кој да се рутира, затоа нативната врска може да се автентицира и сепак да не пренесува сообраќај.

Нативната автентикација се извршува спрема виртуелен центар, со кориснички објект што го создал администраторот на центарот. Блоковите со сертификати копирани од OpenVPN профил не стануваат корисници на центарот, а корисник на центарот не станува клиентски сертификат. Двата системи чуваат различни работи, и профилот нема каде да го стави записот за корисник на центарот. Тоа е структурна разлика, а не синтаксички проблем.

Држете го приватниот клуч подалеку од секоја услуга за претворање, бидејќи клучот што ја напушта машината мора да се смета за откриен.

Што прифаќа слушателот компатибилен со OpenVPN

Слушателот за компатибилност е вистински OpenVPN сервер од гледна точка на клиентот: очекува OpenVPN клиент и директивите што тој клиент ги поддржува. Вградените блокови со сертификати се функција на OpenVPN и припаѓаат на таа страна од оградата.

Она што нема да го направи е да прифати нативен SoftEther профил, бидејќи тој профил не е OpenVPN конфигурација. Слушателот исто така не го претвора нативниот клиент во OpenVPN клиент. Ако операторот нуди само нативната услуга, одговорот е нативниот клиент; ако ја нуди слушателот за компатибилност, одговорот е OpenVPN и неговиот сопствен материјал.

Побарајте го поддржаниот извоз на операторот наместо сами да составувате од делови, бидејќи извозот носи детали што рачно изградената датотека обично ги пропушта.

Докажете ја патеката пред да уредувате директиви

Откако клиентот е избран, тестирајте го тунелот пред да допрете рути. Успешно најавување и интерфејс што пренесува сообраќај се два различни резултати.

sudo openvpn --config profile.ovpn --verb 3
ip -br addr
ip route get 10.70.4.20
resolvectl status | grep -A2 'DNS Servers'

Споредете ја доделената адреса со базенот што го опишал операторот, потоа одделно погледнете ги рутите и резолверот. Нативна врска со центар може чисто да се автентицира и воопшто да не инсталира рути, што од страната на клиентот изгледа како скршен тунел. Само кога тие три се совпаѓаат, вреди да се уреди директива. Претходното уредување крие кој слој бил погрешен.