Netgear OpenVPN: TUN og TAP lyttar på ulike portar

Ein telefon koplar til VPN-et til rutaren utan klager, og ein berbar PC som brukar ein profil frå same nedlastingsside, går ut på tid. Ingenting ved sertifikata endra seg mellom dei to forsøka, fordi den berbare aldri nådde punktet der sertifikat har noko å seie. Rutaren publiserer separate lyttarar for TUN og TAP, og ein fungerande profil må velje den som høyrer til sin eigen utstyrstype.

Å avgjere kva av tre moglege feil ein skal følgje, er heile jobben her: porten, utstyrstypen eller forhandlinga av sifferet på datakanalen.

Tre ting som må stemme

Utstyrstypen, grensesnittlinja i profilen og lyttarporten utgjer eitt val, ikkje tre. Ein profil som erklærer dev tun og er retta mot TAP-lyttaren, kan ikkje fullføre økta, og det motsette feilar på same måte. For din modell og fastvare, les porten frå den eigne VPN-sida til rutaren i staden for frå ei rettleiding, fordi tala flyttar seg mellom bygg. Skriv modellen og fastvareversjonen ved sida av talet slik at neste person kan stadfeste det.

Rapportar frå feltet nemner eit par som 12973 for TUN og 12974 for TAP på éin fastvare, og eit anna tal på ein annan. Les dei som prov på at bygga er ulike, ikkje som konstantar som skal kopierast. Profilen treng då vertsnamnet som passar avstanden: det dynamiske DNS-namnet til rutaren i staden for ei WAN-adresse som vil endre seg.

Etter å ha retta porten og grensesnittlinja ser profilen ut som ein vanleg klientkonfigurasjon med éi remote-linje og éi dev-linje. Viss dei to ikkje stemmer, gir ingen mengd gjentaking ei økt.

Les loggen i den rekkjefølgja han blir skriven ut

Ein OpenVPN-klient rapporterer hendingar i den rekkjefølgja dei skjer, så den siste linja før stilla peikar på laget som skal undersøkjast. Når køyringa sluttar på TLS Error: TLS key negotiation failed, eller berre ventar på eit første svar og gir opp, skjedde sertifikatsamanlikninga aldri. Det peikar på nåbarheit, på lyttaren eller på ein port utan noko bak. Ingenting av dette blir reparert ved å bytte ut CA-fila.

Ei køyring som når VERIFY OK og deretter feilar, ligg heilt andre stader med sine eigne årsaker. Å skilje dei to utfalla før du rører filer hindrar den klassiske omvegen gjennom sertifikatbuntar som aldri vart spurde. Når handtrykket er fullført men tunnelen ikkje kjem opp, sjå på sifferforhandlinga i staden for nåbarheit.

Legg til sifferlista ein moderne klient ventar

Nyare OpenVPN-klientar avviser eldre standardverdiar som forbrukarfastvare framleis tilbyr, og symptomet er ein forhandlingsfeil rett etter eit vellukka handtrykk. Rettinga er éi profillinje som nemner kva klienten vil godta: set data-ciphers til AES-256-GCM, AES-128-GCM, CHACHA20-POLY1305 og AES-128-CBC i den rekkjefølgja. Kvar algoritme rutaren ikkje implementerer, blir rett og slett aldri vald, så ei lengre liste kostar ingenting anna enn ei litt lengre forhandling.

Å liste opp siffer lærer ikkje rutaren eit han ikkje har. Viss forhandlinga framleis feilar, sjekk om rutersida har si eiga sifferinnstilling og om den innstillinga inneheld minst éin oppføring klienten godtek. To lister utan felles medlem gir nøyaktig same feil som ein galen port, derfor fortener begge endar eit blikk.

Importer éin gong i staden for å redigere kopiar for hand

Import av den retta fila i NetworkManager unngår ei mappe full av litt ulike profilar: nmcli connection import type openvpn file client.ovpn, og ta henne deretter opp ved namn. Hald den importerte profilen som den einaste kopien du redigerer, og slett duplikata som samlar seg frå gjentekne nedlastingar.

Test deretter utanfrå LAN. Å kople til frå same nett beviser svært lite, fordi trafikken kanskje ikkje går gjennom tunnelen i det heile. Stadfest at ein førespurnad faktisk går ut gjennom rutaren, ikkje berre at klienten viser ein tilkopla tilstand.

Avgjer kva du vil gjere med åtvaringar

Forbrukarfastvare pregar vanlegvis si eiga sertifikatstyresmakt, og klientar klagar på stadfestinga på måtar fastvaren ikkje kan undertrykkje. Vurder om den klaga betyr noko for det du vernar om, i staden for å handsame kvar åtvaring som fatal, og ikkje slå av stadfestinga globalt for å teie éi melding. Ei åtvaring du har vurdert, er ein dokumentert risiko; ei stadfestingsinnstilling du har deaktivert, er ein udokumentert.

Når fastvaren ikkje tilbyr nokon støtta måte å rette ei åtvaring som verkeleg betyr noko, talar det gapet for å hoste VPN-et ein annan stad. Valet mellom å reparere profilen, godta åtvaringa og flytte endepunktet er ei avgjerd om kor mykje du stolar på det sertifikatet. Ta henne medvite, og skriv ned kva alternativ du valde, i staden for å klikke gjennom dialogar til ikonet blir grønt.