DD-WRT OpenVPN 2.5-lyttaren er daud? Les konfigurasjonen han genererte

Ein daud lyttar på DD-WRT tyder vanlegvis at daemonen avslutta medan han parsa konfigurasjonen sin, ikkje at ei brannmurregel blokkerte porten. OpenVPN 2.5 strama inn fleire standardverdiar som eldre konfigurasjonar var avhengige av, og ein generert konfigurasjon som fungerte på eit eldre bygg kan bli avvist før socketen i det heile blir opna. Årsaka står i loggen til rutaren sjølv, og inndataene står i den genererte fila. Å lese begge i den rekkjefølgja er raskare enn kva pakkefangst som helst.

Daemonen er ikkje brannmuren

Skilnaden tel fordi begge feila ser like ut utanfrå: ein klient sender eit handtrykk og får ingenting attende. Den eine er ein prosess som ikkje køyrer, den andre er ein prosess som køyrer og filtrerer.

Skil dei med to kontrollar før du endrar noko, for ei brannmurrendring på ein daud daemon legg berre til ein andre variabel.

Les konfigurasjonen DD-WRT genererte

DD-WRT gir ikkje OpenVPN teksten du skreiv inn i nettgrensesnittet. Det skriv ein generert konfigurasjon til /tmp/openvpn/openvpn.conf og startar daemonen med den fila, så grensesnittfelta og all tekst i Additional Config blir slått saman før OpenVPN i det heile ser dei. Viss du feilsøkjer skjemaet i staden for den genererte fila, les du ei meining og ikkje dei faktiske inndataene. Kopier fila til ein varig stad før ein omstart /tmp tømmer henne.

Samanlikn den genererte fila med det du hadde tenkt, særleg der grensesnittet skriv eit direktiv du aldri valde. Ein rullegardin som sender ut eit utdatert alternativ er usynleg i skjemaet og dødeleg for daemonen.

Viss den genererte fila er tom eller manglar, kom daemonen ikkje eingong til start, og problemet ligg før OpenVPN.

Kva OpenVPN 2.5 slutta å godta

OpenVPN 2.5 erstatta ncp-ciphers med data-ciphers, og heva den minste TLS-versjonen som standard til 1.2. Det endra òg handsaminga av komprimering, slik at ein motpart som tilbyr komprimering blir avvist med mindre konfigurasjonen uttrykkeleg tillèt det, og det gjorde eldre alternativnamn som ns-cert-type utdaterte til fordel for remote-cert-tls. Kvar av desse endringane gjer ein tidlegare fungerande konfigurasjon om til ein parse- eller forhandlingsfeil.

Feilmodusen avheng av direktivet. Eit ukjent eller fjerna alternativ stoppar daemonen ved oppstart, det er din daude lyttar. Eit avvik i forhandlinga lèt daemonen køyre og avviser klientar, noko som frå klientsida ser ut som eit brannmurproblem.

Les den første feilen i loggen, ikkje den siste. Parsinga stoppar ved det første dårlege direktivet, og alt etter det er støy frå nedstenginga.

Føresetnadene som er spesifikke for Broadcom

På Broadcom-bygg må tunneleininga finnast før daemonen kan bruke henne. Kontroller at tun-modulen er lasta og at /dev/net/tun er til stades, fordi ei manglande eining gir ein oppstartsfeil som ikkje har noko med sertifikat å gjere. Det same gjeld hjelpeskripta DD-WRT genererer for ruter og DNS: viss dei manglar eller ikkje er køyrbare, kan daemonen starte og likevel ikkje fullføre oppsettet.

Køyr daemonen i forgrunnen med høgare detaljnivå mot den genererte konfigurasjonen når du treng den verkelege meldinga. Ein forgrunnskøyring skriv ut parsefeilen som init-skriptet svelgde.

Set deretter den normale tenesta tilbake, for ein forgrunnsdaemon og init-skriptet vil slåst om porten.

Prov at lyttaren finst før du feilsøkjer klientar

Stadfest prosessen og socketen kvar for seg: éin kommando for den køyrande daemonen, ein annan for ein bunden UDP-port på den forventa adressa. Ein prosess utan socket tyder at han framleis er under oppsett eller bunden til feil grensesnitt. Paret er ein nyttig test nettopp fordi den eine halvdelen ikkje kan vere sann utan den andre.

Feilsøking på klientsida gir berre meining etter at lyttaren finst. Sjekk då at chifferet og TLS-innstillingane til klienten samsvarer med data-ciphers lista og minsteversjonen til serveren, og at porten faktisk blir vidaresend til rutaren.

Ta vare på den genererte konfigurasjonen og logglinja som prova rettinga. Den neste fastvareoppdateringa kan endre standardverdiane igjen, og den registreringa er det som gjer ein gjentaking til ein femminutts sjekk.