په رښتیا کوم OpenVPN انسټنس ستاسو PiVPN پروفایل کاروي؟

PiVPN د سرور کنفیګریشن او د کلینټ پروفایل لیکي، بیا وتل کیږي؛ دا هیڅکله هغه پروسه نه کیږي چې ستاسو ټرافیک وړي۔ نو ناکامه لاس ورکول، غلط پای ټکي ته ډایل کولوونکی کلینټ، یا له بیا پیل وروسته غلط راستنیدونکې خدمت د نصب کوونکي له مینو څخه نشي تشریح کیدای۔ دا نښې هغه OpenVPN ډیمون ته اړه لري چې اوس روان دی، هغه کنفیګریشن ته چې هغه ډیمون په رښتیا بار کړ، او هغه لاګ ته چې ورته اشاره شوې وه۔ څلور یوازې-لوستلو کمانډونه دا معمولاً حل کوي، او هیڅ یو یې ستاسو سندونه یا کیلي نه بدلوي۔

مرستندوی او ډیمون جلا شیان دي

ګډوډي اسانه تشریح کیږي: یوه فولډر هغه فایل لري چې مرستندوی جوړ کړی، هغه فایل چې ډیمون لولي، او کله ناکله د دواړو زوړ کاپی۔ مرستندوی یو پروویژننګ سکریپټ دی۔ دا پکیجونه نصبوي، د واحد فایلونه لیکي او د کلینټ پروفایل چاپوي، او بیا یې کار پای ته رسیږي۔ پاتې شوی شی د خدمت مدیر کې یوه ننوتنه او یوه کمانډ کرښه ده۔

د systemd کوربه په صورت کې د فولډر لیست پر ځای له فعال واحد پیل کړئ۔ نوم د پیکج کولو پورې اړه لري: Debian او Raspberry Pi OS عکسونه معمولاً د کالب انسټنس وړاندې کوي، لکه openvpn-server@server, پداسې حال کې چې زاړه نصبونه openvpn@server کاروي۔ له فایل نوم څخه د اټکل کولو پر ځای له مدیر څخه وپوښتئ کوم یې روان دی۔

systemctl list-units --type=service --all | grep -i openvpn
systemctl cat openvpn-server@server

ولولئ ExecStart= په هغه تولید کې۔ دا د اجرا وړ فایل او هغه اختیارونه چې مدیر په رښتیا پیلوي، په شمول هر --config لار، نوموي؛ د غاړې پروت کنفیګریشن فایل چې هیڅ کمانډ ورته اشاره نه کوي د روان تونل برخه نه ده۔

هغه کنفیګریشن زنځیر تعقیب کړئ چې ډیمون حل کړی

OpenVPN د تنظیماتو لپاره فولډر سکین نه کوي۔ دا --config سره ورکړل شوی فایل لولي، دننه هر config لارښوونې تعقیبوي، او بیا د کمانډ کرښې اختیارونه پلي کوي۔ لارښود 2.6 هغه ترتیب تشریح کوي، او دا مهم دی کله چې دوه فایلونه د پورټ، وسیلې یا سایفر په اړه سره نه یوځای شي۔

لومړی اصلي غوښتنه ډمپ کړئ، بیا هغه لارښوونې وګورئ چې هویت او لاسرسی ټاکي۔ دواړه کمانډونه یوازې-لوستل دي او په ژوندي سرور کې خوندي دي، که څه هم دوهم په عامه ټیکټ کې داسې لارې چاپوي چې شاید نه غواړئ۔

systemctl show -p ExecStart --value openvpn-server@server
grep -E '^(config|dev|proto|port|local|log|log-append|status|ca|cert|key|tls-auth|tls-crypt)' /etc/openvpn/server/server.conf

په کور فولډر کې .ovpn فایل د کلینټ اثر دی۔ سرور ډیمون یې هیڅکله نه لولي، نو د سرور-پلې لاس ورکولو ناکامي سمولو لپاره هغه فایل سمول هیڅ نه ترلاسه کوي۔

ننوتنې بله کړۍ ده۔ یوه config کرښه دوهم فایل راښکي چې اختیارونه یې په هماغه ټکي پروسس کیږي، نو وروستی یو-ارزښت لارښود کولای شي هغه څه ته تیر شي چې اصلي فایل یې وایي ښکاره کیږي۔ که ښکاره فایل سم ښکاره شي او ډیمون بیا هم بل ډول چلند کوي، نو له هر څه بدلولو مخکې شامل فایل ولولئ۔

لاګ له پروسې سره سم کړئ، نه له هغه خطا سره چې یاد یې لرئ

دوه لاګ منزلونه معمول دي، او یوازې یو یې journal دی۔ له log-append سره، ډیمون په هغه فایل لیکي او journal له پیل کرښو پرته لږ ساتي۔ له هغې پرته journalctl د پیښو سرچینه ده۔

journalctl -u openvpn-server@server -n 80 --no-pager

یوه نښلونې هڅه له یوې وخت کړکۍ سره وتړئ۔ د کلینټ پای ټکی ولیکئ، بیا له هماغو ثانیو څخه سرور پیښې ولولئ۔ هغه TLS لاس ورکول چې هیڅکله د سندونو تبادلې ته نه رسیږي د لاسرسي یا پروتوکول ناسمونې ته اشاره کوي، پداسې حال کې چې د تصدیق رد د تونل پارامیټرونو له مخکې سره موافقې وروسته راځي۔

زوړ لاګ ننوتنه د پنځه دقیقې مخکې ډاونلوډ شوي پروفایل په اړه هیڅ نه ثابتوي۔ کلینټ فایل بیا جوړ کړئ، یو ځل نښلئ، او یوازې هغه کرښې ولولئ چې په هغې هڅه کې ښکاره شوې۔

لومړی مشخصه ناکامي ولیکئ، نه وروستې عمومي۔ د بایند خطا، بې ځوابه بهرنۍ تبادله، د سند رد او د حساب رد هر یو تاسو بل طبقې ته لیږي، او په پای کې ټایم آوټ ډیری وخت پورتنۍ ګټورې پیښې پټوي۔

د تونل بیا جوړول د تشخیص ګام نه دی

د لالچ وړ لنډه لار دا ده چې دوهم، ساده تونل جوړ کړئ: سټاټیک کیلي، سندونه نشته، اضافي تصدیق نشته۔ دا به ډیری وخت ونښلي، او یوازې دا ثابتوي چې دوه کوربه کولای شي د دوی ترمنځ UDP یا TCP تیر کړي۔ دا هېڅ نه وایي چې ولې د سند-تصدیق شوې ځای پرځای کول ناکام کیږي، او په خاموشۍ هغه امنیتي ماډل بدلوي چې ساتلو ته ویل شوي وو۔

همدا خبره tls-auth یا tls-crypt بندولو، verify-x509-name نرموولو، یا د شنه حالت لپاره دوهم فاکتور پرېښودلو ته هم صدق کوي۔ هغه تونل چې د تصدیق د لرې کولو له امله نښلي بل سیستم دی، نه ترمیم شوی۔

په هغه طبقه کې چې لاګ نومولی یو محدود بدلون وکړئ، هماغه واحد بیا پیل کړئ، او هماغه یوه نښلونې هڅه تکرار کړئ۔ دا پرتله صادقه ساتي، او داسې بدلون پرېږدي چې بیرته یې اړولای شئ۔

بل کس ته څه وسپارئ

څلور حقیقتونه تر هغه ولیکئ چې لا یې لرئ: OpenVPN نسخه له openvpn --version څخه، فعال واحد، د ننوتنو سره کنفیګریشن زنځیر، او یوه هڅه پوښونکې لاګ کړکۍ۔ هغه څلور مبهم شکایت د بیا تولید وړ قضیې ته بدلوي۔

له شریکولو مخکې حساس معلومات پاک کړئ۔ شخصي کیلي، auth-user-pass فایلونه، سټاټیک کیلي مواد او بشپړ کلینټ بنډلونه په ټیکټ کې نه ځای کیږي؛ د اختیارونو نومونه او د زنځیر بڼه معمولاً د دوهمې جوړې سترګو لپاره کافي دي۔

که زنځیر سالم وي او لاګ لا هم شبکې ته اشاره کوي، بل ګام د کلینټ او سرور ترمنځ لاره ده, نه بله نصبونه۔ دا د کیسې هغه یوه برخه ده چې مرستندوی هیڅکله نه درلوده۔