Netgear OpenVPN: TUN i TAP osluškuju na različitim portovima

Telefon se bez žalbe povezuje na VPN rutera, a laptop sa profilom sa iste stranice za preuzimanje ističe. Ništa u vezi sa sertifikatima nije se promenilo između ta dva pokušaja, jer laptop nikada nije stigao do tačke gde su sertifikati važni. Ruter objavljuje odvojene osluškivače za TUN i TAP, a radni profil mora da izabere onaj koji pripada njegovom sopstvenom tipu uređaja.

Odlučiti koji od tri moguća kvara slediti ovde je ceo posao: port, tip uređaja ili pregovaranje šifre podatkovnog kanala.

Tri stvari koje moraju da se slažu

Tip uređaja, linija interfejsa u profilu i port osluškivača čine jedan izbor, a ne tri. Profil koji navodi dev tun i cilja na TAP osluškivač ne može da dovrši sesiju, a obrnuto pada na isti način. Za svoj model i firmver čitajte port sa sopstvene VPN stranice rutera, a ne iz vodiča, jer se brojevi menjaju između verzija. Zapišite model i verziju firmvera pored tog broja da sledeća osoba može da ga proveri.

Izveštaji iz prakse pominju par poput 12973 za TUN i 12974 za TAP na jednom firmveru, a drugi broj na drugom. Čitajte ih kao dokaz da se verzije razlikuju, a ne kao konstante za kopiranje. Profilu tada treba ime hosta primereno udaljenosti: dinamičko DNS ime rutera umesto WAN adrese koja će se promeniti.

Posle ispravljanja porta i linije interfejsa profil izgleda kao uobičajena klijentska konfiguracija sa jednom remote linijom i jednom dev linijom. Ako se njih dve ne slažu, nikakvo ponavljanje ne stvara sesiju.

Čitajte dnevnik redosledom kojim se ispisuje

Klijent OpenVPN prijavljuje događaje redosledom kojim se dešavaju, pa poslednji red pre tišine označava sloj koji treba pregledati. Kada se izvršavanje završi na TLS Error: TLS key negotiation failed ili jednostavno čeka prvi odgovor pa odustane, poređenje sertifikata nikada se nije dogodilo. To upućuje na dostupnost, na osluškivač ili na port iza kojeg nema ničega. Ništa od toga se ne popravlja zamenom CA datoteke.

Izvršavanje koje stigne do VERIFY OK i zatim padne nalazi se sasvim drugde, sa sopstvenim uzrocima. Razvrstavanje tih dvaju ishoda pre diranja datoteka sprečava klasičan obilazak kroz pakete sertifikata koji nikada nisu bili konsultovani. Kada se rukovanje završi, ali tunel se ne podigne, gledajte pregovaranje šifre umesto dostupnosti.

Dodajte listu šifri koju očekuje moderan klijent

Noviji OpenVPN klijenti odbijaju starije podrazumevane vrednosti koje firmver potrošačkih uređaja još nudi, a simptom je neuspeh pregovaranja odmah posle uspešnog rukovanja. Popravka je jedna linija profila koja navodi šta će klijent prihvatiti: postavite data-ciphers na AES-256-GCM, AES-128-GCM, CHACHA20-POLY1305 i AES-128-CBC tim redosledom. Svaki algoritam koji ruter ne implementira jednostavno se nikada ne odabere, pa duža lista košta samo malo duže pregovaranje.

Navođenje šifri ne uči ruter onoj koju nema. Ako pregovaranje i dalje ne uspeva, proverite da li stranica rutera ima sopstveno podešavanje šifre i da li to podešavanje uključuje bar jedan zapis koji klijent prihvata. Dve liste bez zajedničkog člana daju tačno isti neuspeh kao pogrešan port, zato oba kraja zaslužuju pogled.

Uvezite jednom umesto ručnog uređivanja kopija

Uvoz ispravljene datoteke u NetworkManager izbegava fasciklu punu malo različitih profila: nmcli connection import type openvpn file client.ovpn, zatim ga podignite po imenu. Držite uvezeni profil kao jedinu kopiju koju uređujete i brišite duplikate koji se nakupljaju ponovljenim preuzimanjima.

Zatim testirajte izvan LAN-a. Povezivanje iz iste mreže dokazuje vrlo malo, jer saobraćaj možda uopšte ne prolazi kroz tunel. Potvrdite da zahtev stvarno izlazi kroz ruter, a ne samo da klijent prikazuje povezano stanje.

Odlučite šta da radite sa upozorenjima

Firmver potrošačkih uređaja obično stvara sopstveno telo za izdavanje sertifikata, a klijenti se žale na proveru na načine koje firmver ne može da uguši. Procenite da li je ta žalba važna za ono što štitite umesto da svako upozorenje tretirate kao kobno, i ne isključujte proveru globalno da ućutkate jednu poruku. Upozorenje koje ste procenili je dokumentovan rizik; podešavanje provere koje ste onemogućili nije dokumentovano.

Kada firmver ne pruža podržan način da ispravite upozorenje koje je zaista važno, taj jaz govori u prilog hostovanju VPN-a negde drugde. Izbor između popravke profila, prihvatanja upozorenja i premeštanja krajnje tačke je odluka o tome koliko verujete tom sertifikatu. Donesite je namerno i zapišite koju ste opciju izabrali, umesto da klikćete kroz dijaloge dok ikonica ne postane zelena.