Listener-i i OpenVPN 2.5 në DD-WRT ka vdekur? Lexoni konfigurimin që gjeneroi

Një listener i vdekur në DD-WRT zakonisht do të thotë që daemon-i doli ndërsa po analizonte konfigurimin e tij, jo që një rregull firewall bllokoi portën. OpenVPN 2.5 shtrëngoi disa vlera të paracaktuara nga të cilat vareshin konfigurimet e vjetra, dhe një konfigurim i gjeneruar që funksiononte në një ndërtim të vjetër mund të refuzohet përpara se socket-i të hapet fare. Arsyeja është në regjistrin e vetë router-it, dhe hyrja është në skedarin e gjeneruar. Leximi i të dyjave në atë rend është më i shpejtë se çdo kapje paketash.

Daemon-i nuk është firewall-i

Dallimi ka rëndësi sepse të dyja dështimet duken njësoj nga jashtë: klienti dërgon një handshake dhe nuk merr asgjë mbrapsht. Njëri është një proces që nuk punon, tjetri është një proces që punon dhe filtron.

Ndajini me dy kontrolle përpara se të ndryshoni çdo gjë, sepse një redaktim i firewall-it në një daemon të vdekur shton vetëm një variabël të dytë.

Lexoni konfigurimin që gjeneroi DD-WRT

DD-WRT nuk i jep OpenVPN teksti që shkruat në ndërfaqen web. Ai shkruan një konfigurim të gjeneruar në /tmp/openvpn/openvpn.conf dhe nis daemon-in me atë skedar, kështu që fushat e ndërfaqes dhe çdo tekst në Additional Config bashkohen përpara se OpenVPN t’i shohë. Nëse korrigjoni formularin në vend të skedarit të gjeneruar, po lexoni një qëllim dhe jo hyrjen reale. Kopjoni atë skedar në një vend të përhershëm përpara se një rinisje /tmp ta fshijë.

Krahasoni skedarin e gjeneruar me atë që kishit ndërmend, veçanërisht aty ku ndërfaqja shkruan një direktivë që nuk e keni zgjedhur kurrë. Një menu rënëse që nxjerr një opsion të vjetruar është e padukshme në formular dhe vdekjeprurëse për daemon-in.

Nëse skedari i gjeneruar është bosh ose mungon, daemon-i nuk arriti as të nisej, dhe problemi qëndron përpara OpenVPN.

Çfarë pushoi së pranuari OpenVPN 2.5

OpenVPN 2.5 zëvendësoi ncp-ciphers me data-ciphers, dhe ngriti versionin minimal të paracaktuar të TLS në 1.2. Ndryshoi gjithashtu trajtimin e kompresimit, kështu që një palë që ofron kompresim refuzohet nëse konfigurimi nuk e lejon shprehimisht, dhe i shpalli të vjetruara emrat e opsioneve më të vjetra si ns-cert-type në favor të remote-cert-tls. Secili prej këtyre ndryshimeve e kthen një konfigurim që funksiononte më parë në një dështim analize ose negocimi.

Mënyra e dështimit varet nga direktiva. Një opsion i panjohur ose i hequr e ndalon daemon-in në nisje, ky është listener-i juaj i vdekur. Një mospërputhje negocimi e lë daemon-in të punojë dhe refuzon klientët, gjë që nga ana e klientit duket si problem firewall-i.

Lexoni gabimin e parë në regjistër, jo të fundit. Analiza ndalon në direktivën e parë të gabuar, dhe gjithçka pas saj është zhurmë e mbylljes.

Parakushtet specifike për Broadcom

Në ndërtimet Broadcom pajisja e tunelit duhet të ekzistojë përpara se daemon-i ta përdorë atë. Kontrolloni që moduli tun të jetë i ngarkuar dhe që /dev/net/tun të jetë i pranishëm, sepse një pajisje që mungon prodhon një dështim nisjeje që nuk ka asnjë lidhje me certifikatat. E njëjta gjë vlen për skriptet ndihmëse që DD-WRT gjeneron për rrugët dhe DNS: nëse mungojnë ose nuk janë të ekzekutueshme, daemon-i mund të niset dhe gjithsesi të mos përfundojë konfigurimin.

Ekzekutoni daemon-in në plan të parë me më shumë detaje mbi konfigurimin e gjeneruar kur ju duhet mesazhi i vërtetë. Një ekzekutim në plan të parë shtyp gabimin e analizës që skripti init e gëlltiti.

Më pas rikthejeni shërbimin normal, sepse një daemon në plan të parë dhe skripti init do të grinden për portën.

Provoni që listener-i ekziston përpara se të korrigjoni klientët

Konfirmoni procesin dhe socket-in veçmas: një komandë për daemon-in që punon, një tjetër për një portë UDP të lidhur në adresën e pritur. Një proces pa socket do të thotë që është ende në konfigurim ose i lidhur me ndërfaqen e gabuar. Çifti është një test i dobishëm pikërisht sepse njëra gjysmë nuk mund të jetë e vërtetë pa tjetrën.

Korrigjimi nga ana e klientit ka kuptim vetëm pasi listener-i ekziston. Atëherë kontrolloni që shifra dhe cilësimet TLS të klientit përputhen me listën data-ciphers e serverit dhe versionin e tij minimal, dhe që porta është vërtet e përcjellë te router-i.

Ruani konfigurimin e gjeneruar dhe rreshtin e regjistrit që vërtetoi rregullimin. Përditësimi i ardhshëm i firmware-it mund t’i ndryshojë përsëri vlerat e paracaktuara, dhe pikërisht ai regjistrim e kthen një përsëritje në një kontroll pesëminutësh.