Zakaj profila OpenVPN ni mogoče uvoziti v SoftEther

Dve datoteki, ki obe izgledata kot konfiguracija VPN, pristaneta v isti mapi, in deluje samo ena od njiju. Profil OpenVPN opisuje tunel TLS z direktivami, ki jih ta odjemalec razume, medtem ko povezava SoftEther opisuje sejo proti navideznemu vozlišču z drugačno pogodbo o preverjanju pristnosti. Pretvorba enega v drugo ni vaja v oblikovanju, ker odjemalca ne izvajata istega protokola. Ugotavljanje, katero storitev je operater dejansko objavil, odloči vse, kar sledi.

Dve datoteki, dve pogodbi

Profil OpenVPN je konfiguracija odjemalca: oddaljena končna točka, prenos, material TLS in direktive za usmerjanje ter ponovna pogajanja. Povezava SoftEther je domorodna seja odjemalca proti navideznemu vozlišču, na katero je pripet navidezni vmesnik.

Lahko opisujeta dostop do istega omrežja, ne da bi bili zamenljivi. Poslušalec OpenVPN je funkcija združljivosti, ki jo strežnik lahko objavi na ločenih vratih, in govori OpenVPN namesto domorodnega protokola. Domorodni odjemalec govori domorodni protokol in pričakuje svoj profil. En strežnik, dvoje vrat in vsaka vrata imajo svoj ključ.

Končnica datoteke vam ne pove skoraj ničesar, zato je odgovor operaterja pomembnejši od imena datoteke.

Preberite strežnik, preden se dotaknete bloka s potrdilom

Operaterja vprašajte tri stvari: katera vrata in prenos, katera metoda preverjanja pristnosti in katerega odjemalca pričakujejo. Ti odgovori odstranijo večino ugibanj.

Nato potrdite, kaj v resnici posluša, in ne, kaj trdi vodnik. Izklopljen poslušalec združljivosti na svojih vratih ne pokaže ničesar, vklopljen pa pokaže vtičnico tudi, ko se ni nikoli nihče povezal. Razlika med zaprtimi vrati in zavrnjeno prijavo je prva koristna diagnoza. Vse po tem je odvisno od tega, na katera vrata se je potrkalo.

ss -lunp | grep -E ':1194|:443'
sudo ss -ltnp | grep -E ':992|:5555'
grep -nE '^(remote|proto|auth-user-pass|ca |cert |key )' profile.ovpn

Vrata UDP, ki manjkajo na seznamu poslušalcev, so izklopljena funkcija in ne težava s požarnim zidom.

Kaj domorodni odjemalec potrebuje in česa mu profil ne more dati

Domorodni odjemalec namesti navidezni omrežni vmesnik in nanj veže povezavo. Brez tega vmesnika ni vrat, skozi katera bi usmerjali, zato se domorodna povezava lahko preveri in vseeno ne prenaša nobenega prometa.

Domorodno preverjanje pristnosti poteka proti navideznemu vozlišču, z uporabniškim objektom, ki ga je ustvaril skrbnik vozlišča. Bloki potrdil, kopirani iz profila OpenVPN, ne postanejo uporabniki vozlišča, uporabnik vozlišča pa ne postane odjemalsko potrdilo. Oba sistema shranjujeta različne stvari in profil nima kam postaviti zapisa uporabnika vozlišča. To je strukturna razlika in ne težava s sintakso.

Zasebni ključ hranite zunaj vsake storitve za pretvorbo, ker je treba ključ, ki zapusti stroj, obravnavati kot razkrit.

Kaj sprejme poslušalec, združljiv z OpenVPN

Poslušalec združljivosti je z vidika odjemalca pravi strežnik OpenVPN: pričakuje odjemalca OpenVPN in direktive, ki jih ta odjemalec podpira. Vgrajeni bloki potrdil so funkcija OpenVPN in spadajo na ono stran ograje.

Česar ne bo storil, je sprejem domorodnega profila SoftEther, ker ta profil ni konfiguracija OpenVPN. Poslušalec tudi ne spremeni domorodnega odjemalca v odjemalca OpenVPN. Če operater ponuja samo domorodno storitev, je odgovor domorodni odjemalec; če ponuja poslušalec združljivosti, je odgovor OpenVPN in njegov lastni material.

Zahtevajte operaterjev podprti izvoz namesto sestavljanja lastnega iz drobcev, ker izvoz prinaša podrobnosti, ki jih ročno zgrajena datoteka običajno spregleda.

Dokažite pot, preden uredite direktive

Ko je odjemalec izbran, preizkusite tunel, preden se dotaknete poti. Uspešna prijava in vmesnik, ki prenaša promet, sta dva različna izida.

sudo openvpn --config profile.ovpn --verb 3
ip -br addr
ip route get 10.70.4.20
resolvectl status | grep -A2 'DNS Servers'

Primerjajte dodeljeni naslov z naborom, ki ga je opisal operater, nato ločeno poglejte poti in razreševalnik. Domorodna povezava z vozliščem se lahko čisto preveri in sploh ne namesti nobene poti, kar z odjemalske strani izgleda kot pokvarjen tunel. Šele ko se ti trije ujemajo, je vredno urediti direktivo. Zgodnejše urejanje skrije, kateri sloj je bil napačen.