Netgear OpenVPN: TUN a TAP počúvajú na rôznych portoch

Telefón sa bez sťažností pripojí k VPN routera a notebook s profilom z tej istej stránky stiahnutia vyprší. Na certifikátoch sa medzi týmito dvoma pokusmi nič nezmenilo, pretože notebook sa nikdy nedostal do bodu, kde certifikáty hrajú rolu. Router publikuje samostatných poslucháčov pre TUN a TAP a funkčný profil musí vybrať toho, ktorý patrí jeho vlastnému typu zariadenia.

Rozhodnúť, ktorú z troch možných závad sledovať, je tu celá práca: port, typ zariadenia alebo vyjednávanie šifry dátového kanála.

Tri veci, ktoré musia súhlasiť

Typ zariadenia, riadok rozhrania v profile a port poslucháča tvoria jednu voľbu, nie tri. Profil, ktorý deklaruje dev tun a mieri na poslucháča TAP, nemôže dokončiť reláciu, a naopak zlyháva rovnako. Pre svoj model a firmvér čítajte port z vlastnej VPN stránky routera, nie z návodu, pretože čísla sa medzi verziami menia. Zapíšte model a verziu firmvéru vedľa toho čísla, aby to ďalší človek mohol overiť.

Správy z terénu spomínajú dvojicu ako 12973 pre TUN a 12974 pre TAP na jednom firmvéri a iné číslo na inom. Čítajte ich ako dôkaz, že sa verzie líšia, nie ako konštanty na kopírovanie. Profil potom potrebuje hostname zodpovedajúci vzdialenosti: dynamické DNS meno routera namiesto WAN adresy, ktorá sa zmení.

Po oprave portu a riadku rozhrania vyzerá profil ako bežná klientska konfigurácia s jedným riadkom remote a jedným riadkom dev. Ak sa tieto dva nezhodujú, žiadne opakovanie reláciu nevytvorí.

Čítajte log v poradí, v akom sa vypisuje

Klient OpenVPN hlási udalosti v poradí, v akom nastanú, takže posledný riadok pred tichom určuje vrstvu na preskúmanie. Keď sa beh skončí na TLS Error: TLS key negotiation failed alebo len čaká na prvú odpoveď a vzdá to, porovnanie certifikátov nikdy neprebehlo. Ukazuje to na dostupnosť, na poslucháča alebo na port, za ktorým nič nie je. Nič z toho sa neopraví výmenou súboru CA.

Beh, ktorý dosiahne VERIFY OK a potom zlyhá, sedí úplne inde, s vlastnými príčinami. Rozlíšenie týchto dvoch výsledkov pred akýmkoľvek dotykom so súbormi zabráni klasickej obchádzke cez balíky certifikátov, na ktoré sa nikdy nepýtalo. Keď sa handshake dokončí, ale tunel nenabehne, pozerajte sa na vyjednávanie šifry namiesto dostupnosti.

Pridajte zoznam šifier, ktorý moderný klient očakáva

Novšie klienty OpenVPN odmietajú staršie predvolené hodnoty, ktoré firmvér spotrebiteľských zariadení stále ponúka, a príznakom je zlyhanie vyjednávania hneď po úspešnom handshake. Oprava je jeden riadok profilu pomenúvajúci, čo klient prijme: nastavte data-ciphers na AES-256-GCM, AES-128-GCM, CHACHA20-POLY1305 a AES-128-CBC v tomto poradí. Akýkoľvek algoritmus, ktorý router neimplementuje, sa jednoducho nikdy nevyberie, takže dlhší zoznam nestojí nič okrem o málo dlhšieho vyjednávania.

Vymenúvanie šifier nenaučí router tú, ktorú nemá. Ak vyjednávanie stále zlyháva, skontrolujte, či stránka routera má vlastné nastavenie šifry a či toto nastavenie obsahuje aspoň jednu položku, ktorú klient prijíma. Dva zoznamy bez spoločného člena dávajú presne také isté zlyhanie ako nesprávny port, a preto si oba konce zaslúžia pohľad.

Importujte raz namiesto ručného upravovania kópií

Import opraveného súboru do NetworkManageru sa vyhne priečinku plnému mierne odlišných profilov: nmcli connection import type openvpn file client.ovpn, potom ho zapnite podľa názvu. Udržujte importovaný profil ako jedinú kópiu, ktorú upravujete, a mažte duplikáty, ktoré sa hromadia opakovaným sťahovaním.

Potom testujte zvonku LAN. Pripojenie z tej istej siete dokazuje veľmi málo, pretože prevádzka nemusí tunelom vôbec prejsť. Overte, že požiadavka skutočne vychádza cez router, nielen že klient ukazuje pripojený stav.

Rozhodnite, čo s upozorneniami

Firmvér spotrebiteľských zariadení si zvyčajne razí vlastnú certifikačnú autoritu a klienti sa sťažujú na overovanie spôsobmi, ktoré firmvér nedokáže potlačiť. Posúďte, či na tej sťažnosti záleží pre to, čo chránite, namiesto toho, aby ste každé upozornenie brali ako smrteľné, a nevypínajte overovanie globálne, aby ste umlčali jednu správu. Upozornenie, ktoré ste posúdili, je zdokumentované riziko; nastavenie overovania, ktoré ste vypnuli, zdokumentované nie je.

Keď firmvér neponúka podporovaný spôsob, ako opraviť upozornenie, na ktorom naozaj záleží, táto medzera hovorí v prospech hostovania VPN inde. Voľba medzi opravou profilu, prijatím upozornenia a presunom koncového bodu je rozhodnutie o tom, ako veľmi tomu certifikátu veríte. Urobte ju vedome a zapíšte, ktorú možnosť ste zvolili, namiesto klikania dialógov, kým ikona nezelená.