Prečo profil OpenVPN nemožno importovať do SoftEther

Dva súbory, ktoré oba vyzerajú ako konfigurácia VPN, skončia v tom istom priečinku a funguje len jeden z nich. Profil OpenVPN opisuje tunel TLS s direktívami, ktorým tento klient rozumie, zatiaľ čo pripojenie SoftEther opisuje reláciu voči virtuálnemu rozbočovaču s odlišnou zmluvou o overovaní. Previesť jedno na druhé nie je cvičenie vo formátovaní, pretože obaja klienti neimplementujú rovnaký protokol. Určenie, ktorú službu prevádzkovateľ skutočne zverejnil, rozhoduje o všetkom, čo nasleduje.

Dva súbory, dve zmluvy

Profil OpenVPN je konfigurácia klienta: vzdialený koncový bod, prenos, materiál TLS a direktívy pre smerovanie a opätovné vyjednávanie. Pripojenie SoftEther je natívna klientska relácia voči virtuálnemu rozbočovaču s virtuálnym adaptérom, ktorý je k nej pripojený.

Môžu opisovať prístup k tej istej sieti bez toho, aby boli zameniteľné. Poslucháč OpenVPN je funkcia kompatibility, ktorú môže server zverejniť na samostatnom porte, a hovorí OpenVPN namiesto natívneho protokolu. Natívny klient hovorí natívnym protokolom a očakáva vlastný profil. Jeden server, dvoje dvere a každé dvere majú svoj kľúč.

Prípona súboru vám nepovie takmer nič, preto je odpoveď prevádzkovateľa dôležitejšia než názov súboru.

Prečítajte si server skôr, než sa dotknete bloku certifikátu

Opýtajte sa prevádzkovateľa na tri veci: ktorý port a prenos, ktorá metóda overovania a ktorého klienta očakávajú. Tieto odpovede odstránia väčšinu hádania.

Potom overte, čo skutočne načúva, a nie čo tvrdí návod. Vypnutý poslucháč kompatibility na svojom porte nič neukáže a zapnutý ukáže socket, aj keď sa nikdy nikto nepripojil. Rozdiel medzi zatvoreným portom a odmietnutým prihlásením je prvá užitočná diagnostika. Všetko po ňom závisí od toho, na ktoré dvere sa zaklopalo.

ss -lunp | grep -E ':1194|:443'
sudo ss -ltnp | grep -E ':992|:5555'
grep -nE '^(remote|proto|auth-user-pass|ca |cert |key )' profile.ovpn

Port UDP, ktorý v zozname poslucháčov chýba, je vypnutá funkcia, a nie problém brány firewall.

Čo natívny klient potrebuje a čo mu profil dať nemôže

Natívny klient nainštaluje virtuálny sieťový adaptér a pripojí k nemu pripojenie. Bez tohto adaptéra nie je rozhranie, cez ktoré by sa smerovalo, a preto sa natívne pripojenie môže overiť a napriek tomu neprenášať žiadnu prevádzku.

Natívne overovanie prebieha voči virtuálnemu rozbočovaču s používateľským objektom, ktorý vytvoril správca rozbočovača. Bloky certifikátov skopírované z profilu OpenVPN sa nestanú používateľmi rozbočovača a používateľ rozbočovača sa nestane klientskym certifikátom. Oba systémy ukladajú odlišné veci a profil nemá kam umiestniť záznam používateľa rozbočovača. To je štrukturálny rozdiel, a nie problém syntaxe.

Držte súkromný kľúč mimo akejkoľvek konverznej služby, pretože kľúč, ktorý opustí stroj, treba považovať za vyzradený.

Čo prijíma poslucháč kompatibilný s OpenVPN

Poslucháč kompatibility je z pohľadu klienta skutočný server OpenVPN: očakáva klienta OpenVPN a direktívy, ktoré tento klient podporuje. Vložené bloky certifikátov sú funkcia OpenVPN a patria na onú stranu plotu.

Čo neurobí, je prijatie natívneho profilu SoftEther, pretože taký profil nie je konfigurácia OpenVPN. Poslucháč tiež nepremení natívneho klienta na klienta OpenVPN. Ak prevádzkovateľ ponúka len natívnu službu, odpoveďou je natívny klient; ak ponúka poslucháč kompatibility, odpoveďou je OpenVPN a jeho vlastný materiál.

Požiadajte o prevádzkovateľom podporovaný export namiesto skladania vlastného z úlomkov, pretože export nesie podrobnosti, ktoré ručne zostavený súbor zvyčajne vynechá.

Dokážte cestu skôr, než začnete upravovať direktívy

Keď je klient vybraný, otestujte tunel skôr, než sa dotknete trás. Úspešné prihlásenie a rozhranie, ktoré prenáša prevádzku, sú dva rôzne výsledky.

sudo openvpn --config profile.ovpn --verb 3
ip -br addr
ip route get 10.70.4.20
resolvectl status | grep -A2 'DNS Servers'

Porovnajte pridelenú adresu s fondom, ktorý opísal prevádzkovateľ, a potom sa pozrite oddelene na trasy a prekladač. Natívne pripojenie k rozbočovaču sa môže čisto overiť a nenainštalovať žiadne trasy, čo z pohľadu klienta vyzerá ako rozbitý tunel. Až keď sa tieto tri zhodujú, má zmysel direktívu upravovať. Skoršia úprava skrýva, ktorá vrstva bola nesprávna.