Windows OpenVPN-profil feiler på Ubuntu: tre lag

Start den samme profilen fra en terminal, og meldingen de fleste kopierer, er en advarsel, ikke årsaken til at klienten stoppet. Tre uavhengige lag feiler her: et påtrykt direktiv som Linux-bygget ikke implementerer, rettighetene som trengs for å opprette en tun-enhet, og resolver-hjelperen som gjør en tilkobling til fungerende DNS. Ta dem i rekkefølge, fordi hvert lag kan skjule det neste.

Behold nedlastingen slik den kom, og rediger en kopi, slik at en ny nedlasting ikke stille ruller tilbake endringene dine.

Les advarselen før du gir den skylden

block-outside-dns låser DNS på Windows via Windows Filtering Platform, og Linux-klienten har ingenting å koble det til. Når serveren skyver det, skriver klienten ut en linje om ukjent alternativ for den påtrykte oppføringen og fortsetter, fordi et påtrykt alternativ ikke behandles som fatalt. Den samme linjen i din egen fil er noe annet: der stopper parseren. Avgjør hvilken av de to du har før du rører noe, fordi bare én av dem avslutter kjøringen.

Fjern støyen ved å filtrere den før parsing: en pull-filter ignore-oppføring for det navnet, eller --ignore-unknown-option når linjen ligger i den lokale filen. Begge bringer en linje du allerede har lest til taushet; ingen av dem reparerer en feil du ikke har diagnostisert.

Rettigheter feiler før alt annet

En tun-enhet og rutene som følger med den, er privilegerte objekter, og en vanlig konto kan ikke opprette dem. Alternativet --user forklarer delingen: daemonen gir først opp privilegiene sine etter at det privilegerte arbeidet er gjort. Start den som root, eller via en unit som starter den slik, og se deretter etter en tillatelsesfeil før du ser på sertifikater. Å lempe filrettighetene på profilen gir ikke prosessen rettighetene den mangler.

En TLS-feil betyr at klienten kom forbi dette laget. En klage på enhet eller rute betyr at den aldri nådde laget over.

Hva GUI-en gjør som terminalen ikke gjør

Å koble til med suksess mens hvert oppslag fortsatt feiler, er det tredje laget. NetworkManager gjør sitt eget resolver-arbeid, og derfor kan en import fra skrivebordet dele ut DNS selv når profilens up-skript aldri har kjørt med suksess. Kommandoen openvpn --config utfører det --up navngir, og hvis den hjelperen mangler, dukker grensesnittet opp mens oppslagene fortsatt går til de forrige serverne. Sammenlign skriptene til de to veiene før du installerer noe.

Bruk den pakkede hjelperen for distribusjonen din; et skript kopiert fra et blogginnlegg retter seg vanligvis mot en annen resolver. Integrasjonen som leveres for systemd-resolved er ikke det generiske skriptet i vpnc-stil, og hver av dem forventer sine egne argumenter og variabler fra klienten. Brukerdefinerte up-skript krever også script-security 2 før klienten i det hele tatt kjører dem.

Skill lagene ved neste kjøring

Kjør én gang med --verb 4 og les loggen i den rekkefølgen det skjedde: enhetsopprettelse, ruter, TLS-håndtrykk, deretter up-skriptets utdata. Den første feilen i den sekvensen er den som er verdt å fikse; alt etter den er vanligvis en konsekvens. En tunnel som etableres mens resolveren ikke gjør det, plasserer deg på tredje lag, der sertifikatet er irrelevant. La den nedlastede profilen være urørt mens du sammenligner.

Når hver operatørjustering gir nok en avvist linje, er filen rettet mot en annen plattform. Be om en Linux-eksport i stedet for å bygge en permanent filterliste.

Noter hvilket lag som feilet og hva som endret det, fordi den neste som får samme fil ellers også stopper ved advarselen.