Почему профиль OpenVPN не импортируется в SoftEther

Два файла, оба похожие на конфигурацию VPN, попадают в одну папку, и работает только один из них. Профиль OpenVPN описывает туннель TLS с директивами, которые понимает этот клиент, а подключение SoftEther описывает сеанс с виртуальным концентратором по другому договору аутентификации. Превратить одно в другое — не упражнение по форматированию, потому что два клиента не реализуют один и тот же протокол. Определение того, какую службу оператор действительно опубликовал, решает всё последующее.

Два файла, два договора

Профиль OpenVPN — это конфигурация клиента: удалённая конечная точка, транспорт, материал TLS и директивы для маршрутизации и повторных переговоров. Подключение SoftEther — это нативный сеанс клиента с виртуальным концентратором, к которому привязан виртуальный адаптер.

Они могут описывать доступ к одной и той же сети, не будучи взаимозаменяемыми. Прослушиватель OpenVPN — это функция совместимости, которую сервер может опубликовать на отдельном порту, и он говорит на OpenVPN, а не на нативном протоколе. Нативный клиент говорит на нативном протоколе и ожидает собственный профиль. Один сервер, две двери, и у каждой двери свой ключ.

Расширение файла почти ничего не говорит, поэтому ответ оператора важнее имени файла.

Прочитайте сервер, прежде чем трогать блок сертификата

Спросите оператора о трёх вещах: какой порт и транспорт, какой метод аутентификации и какой клиент они ожидают. Эти ответы убирают большую часть догадок.

Затем подтвердите, что на самом деле слушает, а не что утверждает руководство. Отключённый прослушиватель совместимости ничего не показывает на своём порту, а включённый показывает сокет, даже если никто никогда не подключался. Разница между закрытым портом и отклонённым входом — первая полезная диагностика. Всё дальнейшее зависит от того, в какую дверь постучали.

ss -lunp | grep -E ':1194|:443'
sudo ss -ltnp | grep -E ':992|:5555'
grep -nE '^(remote|proto|auth-user-pass|ca |cert |key )' profile.ovpn

Порт UDP, отсутствующий в списке прослушивателей, — это отключённая функция, а не проблема брандмауэра.

Что нужно нативному клиенту и чего профиль дать не может

Нативный клиент устанавливает виртуальный сетевой адаптер и привязывает к нему подключение. Без этого адаптера нет интерфейса для маршрутизации, поэтому нативное подключение может пройти аутентификацию и всё равно не передавать трафик.

Нативная аутентификация выполняется с виртуальным концентратором, используя объект пользователя, созданный администратором концентратора. Блоки сертификатов, скопированные из профиля OpenVPN, не становятся пользователями концентратора, а пользователь концентратора не становится сертификатом клиента. Две системы хранят разное, и профилю некуда поместить запись пользователя концентратора. Это структурное различие, а не проблема синтаксиса.

Держите закрытый ключ вне любого сервиса преобразования, потому что ключ, покинувший машину, нужно считать раскрытым.

Что принимает совместимый с OpenVPN прослушиватель

Прослушиватель совместимости с точки зрения клиента — настоящий сервер OpenVPN: он ожидает клиента OpenVPN и директивы, которые тот поддерживает. Встроенные блоки сертификатов — это функция OpenVPN, и они относятся к той стороне забора.

Чего он не сделает — не примет нативный профиль SoftEther, потому что этот профиль не является конфигурацией OpenVPN. Прослушиватель также не превращает нативный клиент в клиент OpenVPN. Если оператор предлагает только нативную службу, ответ — нативный клиент; если он предлагает прослушиватель совместимости, ответ — OpenVPN и его собственный материал.

Попросите поддерживаемый оператором экспорт вместо того, чтобы собирать его из фрагментов, потому что экспорт несёт подробности, которые собранный вручную файл обычно упускает.

Докажите путь, прежде чем править директивы

Когда клиент выбран, проверьте туннель, прежде чем трогать маршруты. Успешный вход и интерфейс, передающий трафик, — два разных результата.

sudo openvpn --config profile.ovpn --verb 3
ip -br addr
ip route get 10.70.4.20
resolvectl status | grep -A2 'DNS Servers'

Сравните назначенный адрес с пулом, который описал оператор, затем отдельно посмотрите на маршруты и распознаватель. Нативное подключение к концентратору может чисто аутентифицироваться и совсем не установить маршрутов, что со стороны клиента выглядит как сломанный туннель. Только когда эти три совпадают, стоит править директиву. Более раннее редактирование скрывает, какой уровень был неверным.