Netgear OpenVPN: TUN in TAP poslušata na različnih vratih

Telefon se brez pritožb poveže z VPN usmerjevalnika, prenosnik s profilom z iste strani za prenos pa poteče. Pri certifikatih se med tema dvema poskusoma ni nič spremenilo, ker prenosnik ni nikoli dosegel točke, kjer so certifikati pomembni. Usmerjevalnik objavi ločene poslušalce za TUN in TAP, delujoč profil pa mora izbrati tistega, ki pripada njegovemu lastnemu tipu naprave.

Odločiti se, katero od treh možnih napak loviti, je tukaj vse delo: vrata, tip naprave ali pogajanje o šifri podatkovnega kanala.

Tri stvari, ki se morajo ujemati

Tip naprave, vrstica vmesnika v profilu in vrata poslušalca tvorijo eno izbiro, ne treh. Profil, ki navaja dev tun in cilja na poslušalca TAP, ne more dokončati seje, obratno pa spodleti enako. Za svoj model in vdelano programsko opremo berite vrata z lastne strani VPN usmerjevalnika in ne iz vodnika, ker se številke spreminjajo med različicami. Zapišite model in različico vdelane programske opreme ob tej številki, da jo bo naslednja oseba lahko preverila.

Poročila s terena omenjajo par, na primer 12973 za TUN in 12974 za TAP na eni vdelani programski opremi, na drugi pa drugo številko. Berite jih kot dokaz, da se različice razlikujejo, ne kot konstante za kopiranje. Profil nato potrebuje ime gostitelja, primerno razdalji: dinamično ime DNS usmerjevalnika namesto naslova WAN, ki se bo spremenil.

Po popravku vrat in vrstice vmesnika je profil videti kot običajna konfiguracija odjemalca z eno vrstico remote in eno vrstico dev. Če se ti dve ne ujemata, nobena količina ponovnih poskusov ne ustvari seje.

Berite dnevnik v vrstnem redu, v katerem se izpisuje

Odjemalec OpenVPN poroča o dogodkih v vrstnem redu, v katerem se zgodijo, zato zadnja vrstica pred tišino označuje plast, ki jo je treba pregledati. Ko se izvajanje konča na TLS Error: TLS key negotiation failed ali preprosto čaka na prvi odgovor in obupa, primerjava certifikatov ni nikoli potekala. To kaže na dosegljivost, na poslušalca ali na vrata, za katerimi ni ničesar. Nič od tega se ne popravi z zamenjavo datoteke CA.

Izvajanje, ki doseže VERIFY OK in nato spodleti, se nahaja povsem drugje, z lastnimi vzroki. Ločevanje teh dveh izidov pred dotikom datotek prepreči klasičen obvoz skozi pakete certifikatov, po katerih ni bilo nikoli vprašano. Ko je rokovanje končano, a predor se ne dvigne, glejte pogajanje o šifri namesto dosegljivosti.

Dodajte seznam šifer, ki ga pričakuje sodoben odjemalec

Novejši odjemalci OpenVPN zavračajo starejše privzete vrednosti, ki jih vdelana programska oprema potrošniških naprav še ponuja, simptom pa je neuspeh pogajanja takoj po uspešnem rokovanju. Popravek je ena vrstica profila, ki poimenuje, kaj bo odjemalec sprejel: nastavite data-ciphers na AES-256-GCM, AES-128-GCM, CHACHA20-POLY1305 in AES-128-CBC v tem vrstnem redu. Vsak algoritem, ki ga usmerjevalnik ne izvaja, preprosto ni nikoli izbran, zato daljši seznam stane le nekoliko daljše pogajanje.

Naštevanje šifer usmerjevalnika ne nauči tiste, ki je nima. Če pogajanje še vedno spodleti, preverite, ali ima stran usmerjevalnika svojo nastavitev šifre in ali ta nastavitev vsebuje vsaj en vnos, ki ga odjemalec sprejme. Dva seznama brez skupnega člana dajeta natanko enako napako kot napačna vrata, zato si zaslužita pogled oba konca.

Uvozite enkrat, namesto da bi ročno urejali kopije

Uvoz popravljene datoteke v NetworkManager se izogne mapi, polni nekoliko različnih profilov: nmcli connection import type openvpn file client.ovpn, nato ga dvignite po imenu. Uvožen profil obdržite kot edino kopijo, ki jo urejate, in izbrišite dvojnike, ki se nabirajo ob ponovnih prenosih.

Nato preizkusite zunaj LAN. Povezovanje iz istega omrežja dokaže zelo malo, ker promet morda sploh ne gre skozi predor. Potrdite, da zahteva resnično izide skozi usmerjevalnik, ne le da odjemalec prikazuje povezano stanje.

Odločite, kaj storiti z opozorili

Vdelana programska oprema potrošniških naprav običajno ustvari svoj certifikacijski organ, odjemalci pa se pritožujejo nad preverjanjem na načine, ki jih vdelana programska oprema ne more zatreti. Presodite, ali je ta pritožba pomembna za to, kar ščitite, namesto da bi vsako opozorilo obravnavali kot usodno, in ne izklopite preverjanja globalno, da bi utišali eno sporočilo. Opozorilo, ki ste ga ocenili, je dokumentirano tveganje; nastavitev preverjanja, ki ste jo onemogočili, ni dokumentirana.

Ko vdelana programska oprema ne ponuja podprtega načina za odpravo opozorila, ki je res pomembno, ta vrzel govori v prid gostovanju VPN drugje. Izbira med popravilom profila, sprejetjem opozorila in premikom končne točke je odločitev o tem, koliko zaupate temu certifikatu. Sprejmite jo zavestno in zapišite, katero možnost ste izbrali, namesto da bi klikali pogovorna okna, dokler ikona ne postane zelena.