Profil OpenVPN pre Windows na Ubuntu zlyháva: tri vrstvy

Spustite ten istý profil z terminálu a správa, ktorú väčšina ľudí kopíruje, je upozornenie, nie dôvod, prečo sa klient zastavil. Zlyhávajú tu tri nezávislé vrstvy: vložená direktíva, ktorú zostavenie pre Linux neimplementuje, práva potrebné na vytvorenie zariadenia tun a pomocník prekladača, ktorý premení spojenie na funkčný DNS. Prechádzajte ich po poradí, pretože každá môže skryť tú nasledujúcu.

Uložte stiahnutie tak, ako prišlo, a upravujte kópiu, aby nové stiahnutie ticho nevrátilo vaše zmeny.

Prečítajte si upozornenie, skôr než ho obviníte

block-outside-dns zamyká DNS vo Windows cez platformu filtrovania Windows a linuxový klient nemá čo k tomu priradiť. Keď to server vloží, klient vypíše riadok o neznámej voľbe pre tento vložený záznam a pokračuje, pretože vložená voľba sa nepovažuje za fatálnu. Ten istý riadok vo vašom vlastnom súbore je iná vec: tam sa parser zastaví. Rozhodnite, ktorú z tých dvoch máte, skôr než sa čohokoľvek dotknete, pretože len jedna z nich ukončí beh.

Aby ste odstránili šum, filtrujte ho pred parsovaním: záznam pull-filter ignore pre tento názov alebo --ignore-unknown-option, keď riadok leží v lokálnom súbore. Obe utíšia riadok, ktorý ste už prečítali; ani jedno neopraví poruchu, ktorú ste nediagnostikovali.

Oprávnenia zlyhávajú pred všetkým ostatným

Zariadenie tun a trasy, ktoré ho sprevádzajú, sú privilegované objekty a bežný účet ich nevytvorí. Voľba --user vysvetľuje toto rozdelenie: démon sa vzdáva svojich oprávnení až po vykonaní privilegovanej práce. Spustite ho ako root alebo cez unit, ktorý ho tak spúšťa, a potom hľadajte chybu oprávnení, skôr než sa pozriete na certifikáty. Zmiernenie oprávnení súboru profilu procesu nedá práva, ktoré mu chýbajú.

Chyba TLS znamená, že klient prešiel touto vrstvou. Sťažnosť na zariadenie alebo trasu znamená, že sa k vrstve vyššie nikdy nedostal.

Čo robí GUI a terminál nie

Úspešné pripojenie, kým každé vyhľadanie stále zlyháva, je treťou vrstvou. NetworkManager si robí vlastnú prácu s prekladačom, a preto import z pracovnej plochy môže rozdávať DNS, aj keď skript up profilu nikdy nebežal úspešne. Príkaz openvpn --config vykoná, čo určí --up, a ak tento pomocník chýba, rozhranie sa objaví, zatiaľ čo dopyty ďalej smerujú na predchádzajúce servery. Porovnajte skripty oboch ciest, skôr než čokoľvek nainštalujete.

Použite zabaleného pomocníka pre svoju distribúciu; skript skopírovaný z blogového príspevku zvyčajne cieli na iný prekladač. Integrácia dodávaná pre systemd-resolved nie je všeobecný skript v štýle vpnc a každá očakáva vlastné argumenty a premenné od klienta. Používateľom definované skripty up tiež vyžadujú script-security 2, skôr než ich klient vôbec spustí.

Pri ďalšom behu vrstvy oddeľte

Spustite raz s --verb 4 a čítajte záznam v poradí, v akom sa odohral: vytvorenie zariadenia, trasy, TLS handshake, potom výstup skriptu up. Prvé zlyhanie v tomto slede je to, ktoré sa oplatí opraviť; všetko po ňom býva následok. Tunel, ktorý sa nadviaže, kým prekladač nie, vás stavia do tretej vrstvy, kde je certifikát nepodstatný. Pri porovnávaní nechajte stiahnutý profil nedotknutý.

Keď každá úprava operátora vyprodukuje ďalší odmietnutý riadok, súbor mieri na inú platformu. Požiadajte o export pre Linux namiesto budovania trvalého zoznamu filtrov.

Poznamenajte, ktorá vrstva zlyhala a čo ju zmenilo, pretože ďalší človek, ktorému dajú ten istý súbor, sa inak tiež zastaví pri upozornení.