Netgear OpenVPN: TUN dhe TAP dëgjojnë në porta të ndryshme

Një telefon lidhet me VPN-në e ruterit pa asnjë ankesë, ndërsa një laptop që përdor një profil nga e njëjta faqe shkarkimi skadon. Asgjë në certifikatat nuk ndryshoi midis këtyre dy përpjekjeve, sepse laptopi kurrë nuk arriti në pikën ku certifikatat kanë rëndësi. Ruteri publikon dëgjues të veçantë për TUN dhe TAP, dhe një profil që funksionon duhet të zgjedhë atë që i përket llojit të vetë pajisjes.

Të vendosësh cilën nga tre defektet e mundshme të ndjekësh është i gjithë puna këtu: porta, lloji i pajisjes ose negociimi i shifrës së kanalit të të dhënave.

Tre gjëra që duhet të përputhen

Lloji i pajisjes, rreshti i ndërfaqes së profilit dhe porta e dëgjuesit formojnë një zgjedhje, jo tre. Një profil që deklaron dev tun dhe synon dëgjuesin TAP nuk mund ta përfundojë sesionin, dhe e kundërta dështon njësoj. Për modelin dhe firmware-in tuaj, lexoni portën në faqen e vetë ruterit për VPN dhe jo në një udhëzues, sepse numrat ndryshojnë midis versioneve. Shkruani modelin dhe versionin e firmware-it pranë atij numri, që personi tjetër ta verifikojë.

Raportet nga terreni përmendin një çift si 12973 për TUN dhe 12974 për TAP në një firmware, dhe një numër tjetër në një tjetër. Lexojini si provë se versionet ndryshojnë, jo si konstante për t'u kopjuar. Profili pastaj ka nevojë për emrin e hostit që i përshtatet distancës: emrin dinamik DNS të ruterit në vend të një adrese WAN që do të ndryshojë.

Pasi të korrigjohet porta dhe rreshti i ndërfaqes, profili duket si një konfigurim normal klienti me një rresht remote dhe një rresht dev. Nëse të dy nuk përputhen, asnjë sasi përpjekjesh nuk prodhon një sesion.

Lexojeni regjistrin në rendin në të cilin shtypet

Një klient OpenVPN raporton ngjarjet në rendin në të cilin ndodhin, kështu që rreshti i fundit para heshtjes identifikon shtresën për t'u inspektuar. Kur ekzekutimi përfundon në TLS Error: TLS key negotiation failed, ose thjesht pret një përgjigje të parë dhe dorëzohet, krahasimi i certifikatave nuk ndodhi kurrë. Kjo tregon aksesueshmërinë, dëgjuesin ose një port pa asgjë pas tij. Asnjëra prej tyre nuk rregullohet duke zëvendësuar skedarin CA.

Një ekzekutim që arrin VERIFY OK dhe pastaj dështon ndodhet diku krejt tjetër, me shkaqet e veta. Ndarja e këtyre dy rezultateve përpara se të preken skedarët parandalon shmangien klasike përmes paketave të certifikatave që nuk u pyetën kurrë. Pasi shtrëngimi i duarve përfundon, por tuneli nuk ngrihet, shikoni negociimin e shifrës në vend të aksesueshmërisë.

Shtoni listën e shifrave që pret një klient modern

Klientët e fundit të OpenVPN refuzojnë vlerat e paracaktuara të vjetra që firmware-i shtëpiak ende ofron, dhe simptoma është një dështim negociimi menjëherë pas një shtrëngimi duarsh të suksesshëm. Rregullimi është një rresht profili që emërton atë që klienti do të pranojë: vendosni data-ciphers në AES-256-GCM, AES-128-GCM, CHACHA20-POLY1305 dhe AES-128-CBC në atë rend. Çdo algoritëm që ruteri nuk e zbaton thjesht nuk zgjidhet kurrë, kështu që një listë më e gjatë nuk kushton asgjë përveç një negociimi pak më të gjatë.

Renditja e shifrave nuk i mëson ruterit një që nuk e ka. Nëse negociimi ende dështon, kontrolloni nëse faqja e ruterit ka cilësimin e vet të shifrës dhe nëse ai cilësim përfshin të paktën një hyrje që klienti e pranon. Dy lista pa anëtar të përbashkët prodhojnë saktësisht të njëjtin dështim si një port i gabuar, prandaj të dy skajet meritojnë një vështrim.

Importoni një herë në vend që të redaktoni kopje me dorë

Importimi i skedarit të korrigjuar në NetworkManager shmang një dosje plot me profile pak të ndryshme: nmcli connection import type openvpn file client.ovpn, pastaj ngrini atë sipas emrit. Mbani profilin e importuar si kopjen e vetme që redaktoni, dhe fshini dublikatat që grumbullohen nga shkarkimet e përsëritura.

Pastaj provojeni nga jashtë LAN-it. Lidhja nga i njëjti rrjet provon shumë pak, sepse trafiku mund të mos kalojë fare përmes tunelit. Konfirmoni që një kërkesë vërtet del përmes ruterit, jo vetëm që klienti tregon një gjendje të lidhur.

Vendosni çfarë të bëni me paralajmërimet

Firmware-i shtëpiak zakonisht krijon autoritetin e vet të certifikatave, dhe klientët ankohen për verifikimin në mënyra që firmware-i nuk mund t'i shtypë. Gjykojini nëse ajo ankesë ka rëndësi për atë që po mbroni, në vend që ta trajtoni çdo paralajmërim si fatal, dhe mos e çaktivizoni verifikimin në mënyrë globale për të heshtur një mesazh. Një paralajmërim që e keni vlerësuar është një rrezik i dokumentuar; një cilësim verifikimi që e keni çaktivizuar nuk është i dokumentuar.

Kur firmware-i nuk ofron asnjë mënyrë të mbështetur për të korrigjuar një paralajmërim që vërtet ka rëndësi, ajo boshllëk argumenton për strehimin e VPN-së diku tjetër. Zgjedhja midis rregullimit të profilit, pranimit të paralajmërimit dhe zhvendosjes së pikës fundore është një vendim për sa i besoni asaj certifikate. Merrni atë me qëllim, dhe shkruani cilën opsion zgjodhët, në vend që të klikoni nëpër dialogë derisa ikona të bëhet e gjelbër.