Kvifor ein OpenVPN-profil ikkje kan importerast i SoftEther

To filer som begge ser ut som VPN-konfigurasjon hamnar i same mappe, og berre éi av dei verkar. OpenVPN-profilen skildrar ein TLS-tunnel med direktiv som den klienten forstår, medan ei SoftEther-tilkopling skildrar ein sesjon mot ein virtuell hub med ein annan autentiseringskontrakt. Å gjere om den eine til den andre er ikkje ei formateringsøving, fordi dei to klientane ikkje implementerer same protokoll. Å fastslå kva teneste operatøren faktisk publiserte avgjer alt som følgjer.

To filer, to kontraktar

Ein OpenVPN-profil er ein klientkonfigurasjon: eit eksternt endepunkt, ein transport, TLS-materiale og direktiv for ruting og reforhandling. Ei SoftEther-tilkopling er ein opphavleg klientsesjon mot ein virtuell hub, med ein virtuell adapter fest til han.

Dei kan skildre tilgang til same nettverk utan å vere utskiftbare. OpenVPN-lyttaren er ein kompatibilitetsfunksjon som serveren kan publisere på ein eigen port, og han snakkar OpenVPN i staden for den opphavlege protokollen. Den opphavlege klienten snakkar den opphavlege protokollen og ventar sin eigen profil. Éin server, to dører, og kvar dør har sin eigen nøkkel.

Filendet fortel deg nesten ingenting, difor er svaret frå operatøren viktigare enn filnamnet.

Les serveren før du rører ein sertifikatblokk

Spør operatøren om tre ting: kva port og transport, kva autentiseringsmetode og kva klient dei ventar at du brukar. Dei svara fjernar det meste av gjettinga.

Stadfest deretter kva som faktisk lyttar, i staden for kva ei rettleiing påstår. Ein deaktivert kompatibilitetslyttar viser ingenting på porten sin, og ein aktivert viser ein socket sjølv når ingen nokon gong har kopla til. Skilnaden mellom ein lukka port og ei avvist innlogging er den første nyttige diagnosen. Alt etterpå avheng av kva dør det vart banka på.

ss -lunp | grep -E ':1194|:443'
sudo ss -ltnp | grep -E ':992|:5555'
grep -nE '^(remote|proto|auth-user-pass|ca |cert |key )' profile.ovpn

Ein UDP-port som manglar på lyttarlista er ein deaktivert funksjon og ikkje eit brannmurproblem.

Kva den opphavlege klienten treng og ein profil ikkje kan gje han

Den opphavlege klienten installerer ein virtuell nettverksadapter og bind ei tilkopling til han. Utan den adapteren finst det ingen grensesnitt å rute gjennom, og difor kan ei opphavleg tilkopling autentisere og likevel ikkje føre trafikk.

Opphavleg autentisering går mot ein virtuell hub, med eit brukarobjekt som hubadministratoren oppretta. Sertifikatblokker kopierte frå ein OpenVPN-profil vert ikkje hub-brukarar, og ein hub-brukar vert ikkje eit klient sertifikat. Dei to systema lagrar ulike ting, og ein profil har ingen stad å leggje brukarposten til huben. Det er ein strukturell skilnad og ikkje eit syntaksproblem.

Hald den private nøkkelen unna kvar konverteringsteneste, fordi ein nøkkel som forlèt maskina må handsamast som avdekt.

Kva den OpenVPN-kompatible lyttaren godtek

Kompatibilitetslyttaren er ein ekte OpenVPN-server frå klienten sitt ståstad: han ventar ein OpenVPN-klient og dei direktiva den klienten støttar. Innebygde sertifikatblokker er ein OpenVPN-funksjon, og dei høyrer til den sida av gjerdet.

Det han ikkje gjer, er å godta ein opphavleg SoftEther-profil, fordi den profilen ikkje er ein OpenVPN-konfigurasjon. Lyttaren gjer heller ikkje den opphavlege klienten om til ein OpenVPN-klient. Viss operatøren berre tilbyr den opphavlege tenesta, er svaret den opphavlege klienten; viss dei tilbyr kompatibilitetslyttaren, er svaret OpenVPN og hans eige materiale.

Be om den støtta eksporten til operatøren i staden for å setje saman ein av fragment, fordi eksporten ber detaljar som ei handbygd fil vanlegvis overser.

Prov stien før du redigerer direktiv

Når klienten er valt, test tunnelen før du rører ruter. Ei vellukka innlogging og eit grensesnitt som fører trafikk er to ulike resultat.

sudo openvpn --config profile.ovpn --verb 3
ip -br addr
ip route get 10.70.4.20
resolvectl status | grep -A2 'DNS Servers'

Samanlikn den tildelte adressa med utvalet operatøren skildra, og sjå deretter på ruter og oppløysar kvar for seg. Ei opphavleg hub-tilkopling kan autentisere reint og ikkje installere nokon ruter i det heile, noko som frå klientsida ser ut som ein øydelagd tunnel. Først når desse tre stemmer, er det verdt å redigere eit direktiv. Tidlegare redigering skjuler kva lag som var feil.