DD-WRT дээрх OpenVPN 2.5-ын сонсогч үхсэн үү? Үүсгэсэн тохиргоог уншина уу

DD-WRT дээр үхсэн сонсогч нь ихэвчлэн демон өөрийн тохиргоог задлан шинжилж байхдаа гарсан гэсэн үг, firewall-ын дүрэм портыг хаасан гэсэн үг биш. OpenVPN 2.5 нь хуучин тохиргоонууд найдаж байсан хэд хэдэн өгөгдмөл утгыг чангатгаж, хуучин хувилбар дээр ажиллаж байсан үүсгэсэн тохиргоо socket нээгдэхээс өмнө татгалзагдаж болно. Шалтгаан нь роутерын өөрийн лог дотор, оролт нь үүсгэсэн файлд байна. Хоёулыг энэ дарааллаар унших нь ямар ч пакет барилтаас хурдан.

Демон бол firewall биш

Энэ ялгаа чухал, учир нь гаднаас харвал хоёр алдаа ижил харагдана: клиент handshake илгээхэд юу ч буцаж ирэхгүй. Нэг нь ажиллахгүй байгаа процесс, нөгөө нь ажиллаж, шүүж байгаа процесс.

Ямар нэг зүйлийг өөрчлөхөөс өмнө хоёр шалгалтаар тэдгээрийг салга, учир нь үхсэн демон дээр firewall засах нь зөвхөн хоёр дахь хувьсагч нэмнэ.

DD-WRT-ын үүсгэсэн тохиргоог унш

DD-WRT нь вэб интерфейсэд бичсэн текстийг OpenVPN-д шууд өгдөггүй. Энэ нь үүсгэсэн тохиргоог /tmp/openvpn/openvpn.conf дотор бичиж, тэр файлаар демоныг эхлүүлдэг, тиймээс интерфейсийн талбарууд болон Additional Config-ийн аливаа текст OpenVPN тэдгээрийг харахаас өмнө нэгддэг. Хэрэв үүсгэсэн файлын оронд формыг дибаг хийж байгаа бол бодит оролтыг биш, зорилгыг уншиж байна. Дахин ачаалах /tmp цэвэрлэхээс өмнө тэр файлыг байнгын газар хуулж ав.

Үүсгэсэн файлыг зорьсон зүйлтэйгээ харьцуул, ялангуяа интерфейс таны хэзээ ч сонгоогүй зааврыг бичсэн газарт. Хуучирсан сонголтыг гаргадаг унадаг цэс форм дээр харагдахгүй бөгөөд демонд аюултай.

Хэрэв үүсгэсэн файл хоосон эсвэл байхгүй бол демон эхлэх хүртэл ч хүрээгүй, асуудал OpenVPN-ээс дээгүүр байна.

OpenVPN 2.5 юуг хүлээж авахаа болив

OpenVPN 2.5 нь ncp-ciphers -г data-ciphers -ээр сольж, өгөгдмөл хамгийн бага TLS хувилбарыг 1.2 болгож өсгөв. Мөн шахах боловсруулалтыг өөрчилсөн тул шахалт санал болгож буй талыг тохиргоо тодорхой зөвшөөрөхгүй бол татгалздаг, мөн ns-cert-type зэрэг хуучин сонголтын нэрийг remote-cert-tls -ийн ашигт хуучирсан гэж зарлав. Эдгээр өөрчлөлт бүр өмнө ажиллаж байсан тохиргоог задлан шинжилгээ эсвэл хэлэлцээрийн алдаа болгоно.

Алдааны горим заавраас хамаарна. Үл мэдэгдэх эсвэл устгагдсан сонголт демоныг эхлэхэд зогсоодог, энэ бол таны үхсэн сонсогч. Хэлэлцээрийн зөрүү демоныг ажиллуулж, клиентүүдийг татгалздаг, энэ нь клиентийн талаас firewall-ын асуудал мэт харагдана.

Лог дахь эхний алдааг унш, сүүлчийнх биш. Задлан шинжилгээ эхний муу заавар дээр зогсдог, дараах бүхэн нь унтраах чимээ.

Broadcom-д хамаарах урьдчилсан нөхцөл

Broadcom хувилбарууд дээр демон ашиглахаас өмнө туннелийн төхөөрөмж байх ёстой. tun модуль ачаалагдсан эсэх, /dev/net/tun байгаа эсэхийг шалга, учир нь төхөөрөмж байхгүй бол гэрчилгээтэй ямар ч холбоогүй эхлэлийн алдаа үүсдэг. DD-WRT маршрут болон DNS-д зориулж үүсгэдэг туслах скриптүүдэд мөн адил хамаарна: хэрэв тэдгээр байхгүй эсвэл ажиллуулах боломжгүй бол демон эхэлж чадах боловч тохиргоогоо дуусгаж чадахгүй.

Жинхэнэ мессеж хэрэгтэй үед үүсгэсэн тохиргоо дээр илүү дэлгэрэнгүйгээр демоныг урд талд ажиллуул. Урд талын ажиллагаа нь init скрипт залгиад орхисон задлан шинжилгээний алдааг хэвлэнэ.

Дараа нь хэвийн үйлчилгээг сэргээ, учир нь урд талын демон болон init скрипт портын төлөө тэмцэнэ.

Клиентүүдийг дибаг хийхээс өмнө сонсогч байгааг нотол

Процесс болон socket-ыг тусад нь баталгаажуул: нэг нь ажиллаж байгаа демонд, нөгөө нь хүлээгдэж буй хаяг дээр холбогдсон UDP портод. Socket-гүй процесс нь одоо ч тохиргоонд байгаа эсвэл буруу интерфейсэд холбогдсон гэсэн үг. Энэ хос нь ашигтай шалгалт, учир нь нэг тал нь нөгөөгүйгээр үнэн байж чадахгүй.

Клиентийн талын дибаг нь сонсогч байгаа тохиолдолд л утга учиртай. Тэгэхэд клиентийн шифр болон TLS тохиргоо серверийн data-ciphers жагсаалт болон хамгийн бага хувилбартай тохирч байгаа эсэх, порт үнэхээр роутер руу дамжуулагдаж байгаа эсэхийг шалга.

Үүсгэсэн тохиргоо болон засварыг нотолсон лог мөрийг хадгал. Дараагийн firmware шинэчлэлт өгөгдмөл утгыг дахин өөрчилж болно, тэр бичлэг нь давталтыг таван минутын шалгалт болгоно.