Mrtev listener OpenVPN 2.5 na DD-WRT? Preberite ustvarjeno konfiguracijo

Mrtev listener na DD-WRT običajno pomeni, da je demon izstopil med razčlenjevanjem svoje konfiguracije, ne da je pravilo požarnega zidu blokiralo vrata. OpenVPN 2.5 je zaostril več privzetih vrednosti, na katere so se starejše konfiguracije zanašale, in ustvarjena konfiguracija, ki je delovala na starejši gradnji, je lahko zavrnjena, preden se vtičnica sploh odpre. Razlog je v dnevniku samega usmerjevalnika, vhod pa v ustvarjeni datoteki. Branje obojega v tem vrstnem redu je hitrejše od kakršnega koli zajemanja paketov.

Demon ni požarni zid

Razlika je pomembna, ker sta obe okvari od zunaj videti enako: odjemalec pošlje rokovanje in ne prejme ničesar. Ena je proces, ki ne teče, druga pa proces, ki teče in filtrira.

Ločite ju z dvema preverjanjema, preden karkoli spremenite, ker urejanje požarnega zidu na mrtvem demonu doda le drugo spremenljivko.

Preberite konfiguracijo, ki jo je ustvaril DD-WRT

DD-WRT ne preda OpenVPN besedila, ki ste ga vnesli v spletni vmesnik. Zapiše ustvarjeno konfiguracijo v /tmp/openvpn/openvpn.conf in zažene demona s to datoteko, zato se polja vmesnika in morebitno besedilo v Additional Config združijo, preden jih OpenVPN sploh vidi. Če razhroščujete obrazec namesto ustvarjene datoteke, berete namero in ne dejanskega vhoda. Kopirajte to datoteko na trajno mesto, preden ponovni zagon /tmp izprazni.

Primerjajte ustvarjeno datoteko s tem, kar ste nameravali, zlasti tam, kjer vmesnik zapiše direktivo, ki je nikoli niste izbrali. Spustni meni, ki oddaja zastarelo možnost, je v obrazcu neviden in za demona usoden.

Če je ustvarjena datoteka prazna ali je ni, demon sploh ni prišel do zagona in težava je nad OpenVPN.

Česa OpenVPN 2.5 ni več sprejemal

OpenVPN 2.5 je zamenjal ncp-ciphers z data-ciphers, in dvignil privzeto najnižjo različico TLS na 1.2. Spremenil je tudi obravnavo stiskanja, tako da je partner, ki ponuja stiskanje, zavrnjen, razen če konfiguracija to izrecno dovoljuje, in je starejša imena možnosti, kot je ns-cert-type označil za zastarela v korist remote-cert-tls. Vsaka od teh sprememb spremeni prej delujočo konfiguracijo v napako razčlenjevanja ali pogajanja.

Način okvare je odvisen od direktive. Neznana ali odstranjena možnost ustavi demona ob zagonu, to je vaš mrtev listener. Neujemanje pri pogajanju pusti demona teči in zavrača odjemalce, kar se z odjemalčeve strani zdi kot težava požarnega zidu.

Preberite prvo napako v dnevniku, ne zadnje. Razčlenjevanje se ustavi pri prvi slabi direktivi in vse za njo je hrup ob zaustavitvi.

Predpogoji, značilni za Broadcom

Na gradnjah Broadcom mora tunelska naprava obstajati, preden jo demon lahko uporabi. Preverite, ali je modul tun naložen in ali /dev/net/tun obstaja, ker manjkajoča naprava povzroči napako ob zagonu, ki nima nič skupnega s potrdili. Enako velja za pomožne skripte, ki jih DD-WRT ustvari za poti in DNS: če jih ni ali niso izvedljivi, lahko demon zažene in vseeno ne dokonča nastavitve.

Zaženite demona v ospredju z več podrobnostmi na ustvarjeno konfiguracijo, ko potrebujete pravo sporočilo. Zagon v ospredju izpiše napako razčlenjevanja, ki jo je init skript požrl.

Nato obnovite običajno storitev, ker se bosta demon v ospredju in init skript prepirala za vrata.

Dokažite, da listener obstaja, preden razhroščujete odjemalce

Potrdite proces in vtičnico ločeno: en ukaz za delujočega demona, drugi za vezana vrata UDP na pričakovanem naslovu. Proces brez vtičnice pomeni, da je še v nastavljanju ali vezan na napačen vmesnik. Ta par je koristen preizkus prav zato, ker ena polovica ne more biti resnična brez druge.

Razhroščevanje na odjemalčevi strani ima smisel šele, ko listener obstaja. Takrat preverite, ali se šifra in nastavitve TLS odjemalca ujemajo s data-ciphers seznamom strežnika in njegovo najnižjo različico, in ali so vrata res posredovana usmerjevalniku.

Shranite ustvarjeno konfiguracijo in vrstico dnevnika, ki je dokazala popravek. Naslednja posodobitev vdelane programske opreme lahko znova spremeni privzete vrednosti in prav ta zapis spremeni ponovitev v petminutno preverjanje.