Liema istanza OpenVPN qed tuża tassew il-profil PiVPN tiegħek?

PiVPN jikteb konfigurazzjoni tas-server u profil tal-klijent, imbagħad joħroġ; qatt ma jsir il-proċess li jġorr it-traffiku tiegħek. Għalhekk handshake fallut, klijent li jċempel endpoint żbaljat, jew servizz li jerġa' lura ħażin wara reboot ma jistgħux jiġu spjegati mill-menus tal-installer. Dawk is-sintomi jappartjenu lid-daemon OpenVPN li qed jaħdem issa, lill-konfigurazzjoni li dak id-daemon tassew għabba, u lil-log li ġie indikat. Erba' kmandi b'qari biss normalment isolvu dan, u ebda wieħed minnhom ma jbiddel iċ-ċertifikati jew iċ-ċwievet tiegħek.

L-għajnuna u d-daemon huma oġġetti differenti

Il-konfużjoni hija faċli li tiġi spjegata: direttorju wieħed iżomm il-fajl li ġġenerat l-għajnuna, il-fajl li jaqra d-daemon, u xi kultant kopja antika taż-żewġ. L-għajnuna hija skript ta' provvista. Tinstalla pakketti, tikteb fajls ta' unità u tipprintja profil tal-klijent, u mbagħad ix-xogħol tagħha jispiċċa. Dak li jibqa' huwa entrata fil-maniġer tas-servizzi u linja tal-kmand.

Fuq host systemd, ibda mill-unità attiva minflok mil-lista tad-direttorju. L-isem jiddependi mill-ippakkjar: l-immaġini Debian u Raspberry Pi OS normalment jesponu istanza template bħal openvpn-server@server, filwaqt li installazzjonijiet eqdem jużaw openvpn@server. Staqsi lill-maniġer liema waħda qed taħdem minflok taqta' minn isem tal-fajl.

systemctl list-units --type=service --all | grep -i openvpn
systemctl cat openvpn-server@server

Aqra ExecStart= f'dak l-output. Jismi l-eżegwibbli u l-għażliet li l-maniġer tassew iqajjem, inkluż kwalunkwe --config passaġġ; fajl ta' konfigurazzjoni li jinsab fil-qrib u li ebda kmand ma jirreferi għalih mhuwiex parti mit-tunnel li qed jaħdem.

Segwi l-katina ta' konfigurazzjoni li ssolva d-daemon

OpenVPN ma jiskennjax direttorju għal settings. Jaqra l-fajl li jingħata b' --config, isegwi kwalunkwe config direttiva fih, u mbagħad japplika l-għażliet tal-linja tal-kmand. Il-manwal 2.6 jiddeskrivi dak l-ordni, u dan joqgħod meta żewġ fajls ma jaqblux dwar il-port, l-apparat jew iċ-ċifrar.

L-ewwel ħruġ is-sejħa effettiva, imbagħad ħares lejn id-direttivi li jiddeterminaw l-identità u l-aċċessabbiltà. Iż-żewġ kmandi huma qari biss u siguri fuq server ħaj, għalkemm it-tieni jipprintja passaġġi li forsi ma tridx fi tiket pubbliku.

systemctl show -p ExecStart --value openvpn-server@server
grep -E '^(config|dev|proto|port|local|log|log-append|status|ca|cert|key|tls-auth|tls-crypt)' /etc/openvpn/server/server.conf

Fajl .ovpn f'direttorju tad-dar huwa artefatt tal-klijent. Id-daemon tas-server qatt ma jaqrah, għalhekk li teditja dak il-fajl biex issewwi falliment ta' handshake fuq in-naħa tas-server ma jikseb xejn.

L-inklużjonijiet huma n-nassa l-oħra. Linja config tiġbed fajl ieħor li l-għażliet tiegħu jiġu pproċessati f'dak il-punt, għalhekk direttiva aktar tard b'valur wieħed tista' tegħleb dak li l-fajl prinċipali jidher li jgħid. Jekk il-fajl viżibbli jidher korrett u d-daemon xorta jġib ruħu mod ieħor, aqra l-fajl inkluż qabel ma tbiddel xejn.

Qabbel il-log mal-proċess, mhux mal-iżball li tiftakar

Żewġ destinazzjonijiet tal-log huma komuni, u waħda biss minnhom hija l-journal. B' log-append stabbilit, id-daemon jikteb f'dak il-fajl u l-journal iżomm ftit ħlief il-linji tal-bidu. Mingħajr dan, journalctl hija s-sors tal-avvenimenti.

journalctl -u openvpn-server@server -n 80 --no-pager

Qabbel prova ta' konnessjoni waħda ma' tieqa ta' ħin waħda. Innota l-endpoint tal-klijent, imbagħad aqra l-avvenimenti tas-server mill-istess sekondi. Handshake TLS li qatt ma jasal għall-iskambju taċ-ċertifikati jindika aċċessabbiltà jew nuqqas ta' qbil fil-protokoll, filwaqt li ċaħda tal-awtentikazzjoni tasal wara li l-parametri tat-tunnel ikunu diġà miftiehma.

Entrata antika fil-log ma tipprova xejn dwar profil li niżżilt ħames minuti ilu. Iġġenera mill-ġdid il-fajl tal-klijent, qabbad darba, u aqra biss il-linji li dehru matul dik il-prova.

Irreġistra l-ewwel falliment speċifiku, mhux l-aħħar wieħed ġenerali. Żball ta' bind, skambju estern mingħajr tweġiba, ċaħda taċ-ċertifikat u ċaħda tal-kont kull wieħed iwasslek għal saff differenti, u timeout fl-aħħar spiss jaħbi l-avveniment utli ta' fuqu.

Li terġa' tibni t-tunnel mhuwiex pass dijanjostiku

Il-qasira tentanti hija li tqajjem it-tieni tunnel, aktar sempliċi: ċavetta statika, ebda ċertifikati, ebda awtentikazzjoni addizzjonali. Spiss tikkonnettja, u tipprova biss li żewġ hosts jistgħu jgħaddu UDP jew TCP bejniethom. Ma tgħid xejn dwar għaliex il-varar awtentikat b'ċertifikati jonqos, u tissostitwixxi bil-kwiet il-mudell tas-sigurtà li kellek iżżomm.

L-istess jgħodd għal tls-auth jew tls-crypt, li jitbaxxa verify-x509-name, jew li jitwarrab it-tieni fattur biex jinkiseb status aħdar. Tunnel li jikkonnettja għax ittieħdet il-verifika hija sistema oħra, mhux waħda msewwija.

Agħmel bidla waħda limitata fis-saff li semma l-log, erġa' ibda l-istess unità, u erġa' agħmel dik il-prova waħda ta' konnessjoni. Dan iżomm il-paragun onest, u jħalli bidla li tista' treġġa' lura.

X'għandek tgħaddi lill-persuna li jmiss

Ikteb erba' fatti waqt li għadek għandhom: il-verżjoni OpenVPN minn openvpn --version, l-unità attiva, il-katina ta' konfigurazzjoni bl-inklużjonijiet tagħha, u t-tieqa tal-log li tkopri prova waħda. Dawk l-erbgħa jibdlu lment vag f'każ riproduċibbli.

Aħbi qabel ma taqsam. Ċwievet privati, auth-user-pass fajls, materjal ta' ċavetta statika u pakketti tal-klijent kompluti m'għandhomx ikunu fi tiket; l-ismijiet tal-għażliet u l-forma tal-katina normalment biżżejjed għal par għajnejn ieħor.

Jekk il-katina hija sħiħa u l-log għadu jindika n-netwerk, il-pass li jmiss huwa t-triq bejn il-klijent u s-server minflok installazzjoni oħra. Dik hija l-unika parti mill-istorja li l-għajnuna qatt ma kellha.