Netgear OpenVPN: TUN и TAP ослушкују на различитим портовима

Телефон се без жалбе повезује на VPN рутера, а лаптоп са профилом са исте странице за преузимање истиче. Ништа у вези са сертификатима није се променило између та два покушаја, јер лаптоп никада није стигао до тачке где су сертификати важни. Рутер објављује одвојене ослушкиваче за TUN и TAP, а радни профил мора да изабере онај који припада његовом сопственом типу уређаја.

Одлучити који од три могућа квара следити овде је цео посао: порт, тип уређаја или преговарање шифре податковног канала.

Три ствари које морају да се слажу

Тип уређаја, линија интерфејса у профилу и порт ослушкивача чине један избор, а не три. Профил који наводи dev tun и циља на TAP ослушкивач не може да доврши сесију, а обрнуто пада на исти начин. За свој модел и фирмвер читајте порт са сопствене VPN странице рутера, а не из водича, јер се бројеви мењају између верзија. Запишите модел и верзију фирмвера поред тог броја да следећа особа може да га провери.

Извештаји из праксе помињу пар попут 12973 за TUN и 12974 за TAP на једном фирмверу, а други број на другом. Читајте их као доказ да се верзије разликују, а не као константе за копирање. Профилу тада треба име хоста примерено удаљености: динамичко DNS име рутера уместо WAN адресе која ће се променити.

После исправљања порта и линије интерфејса профил изгледа као уобичајена клијентска конфигурација са једном remote линијом и једном dev линијом. Ако се њих две не слажу, никакво понављање не ствара сесију.

Читајте дневник редоследом којим се исписује

Клијент OpenVPN пријављује догађаје редоследом којим се дешавају, па последњи ред пре тишине означава слој који треба прегледати. Када се извршавање заврши на TLS Error: TLS key negotiation failed или једноставно чека први одговор па одустане, поређење сертификата никада се није догодило. То упућује на доступност, на ослушкивач или на порт иза којег нема ничега. Ништа од тога се не поправља заменом CA датотеке.

Извршавање које стигне до VERIFY OK и затим падне налази се сасвим другде, са сопственим узроцима. Разврставање тих двају исхода пре дирања датотека спречава класичан обилазак кроз пакете сертификата који никада нису били консултовани. Када се руковање заврши, али тунел се не подигне, гледајте преговарање шифре уместо доступности.

Додајте листу шифри коју очекује модеран клијент

Новији OpenVPN клијенти одбијају старије подразумеване вредности које фирмвер потрошачких уређаја још нуди, а симптом је неуспех преговарања одмах после успешног руковања. Поправка је једна линија профила која наводи шта ће клијент прихватити: поставите data-ciphers на AES-256-GCM, AES-128-GCM, CHACHA20-POLY1305 и AES-128-CBC тим редоследом. Сваки алгоритам који рутер не имплементира једноставно се никада не одабере, па дужа листа кошта само мало дуже преговарање.

Навођење шифри не учи рутер оној коју нема. Ако преговарање и даље не успева, проверите да ли страница рутера има сопствено подешавање шифре и да ли то подешавање укључује бар један запис који клијент прихвата. Две листе без заједничког члана дају тачно исти неуспех као погрешан порт, зато оба краја заслужују поглед.

Увезите једном уместо ручног уређивања копија

Увоз исправљене датотеке у NetworkManager избегава фасциклу пуну мало различитих профила: nmcli connection import type openvpn file client.ovpn, затим га подигните по имену. Држите увезени профил као једину копију коју уређујете и бришите дупликате који се накупљају поновљеним преузимањима.

Затим тестирајте изван LAN-а. Повезивање из исте мреже доказује врло мало, јер саобраћај можда уопште не пролази кроз тунел. Потврдите да захтев стварно излази кроз рутер, а не само да клијент приказује повезано стање.

Одлучите шта да радите са упозорењима

Фирмвер потрошачких уређаја обично ствара сопствено тело за издавање сертификата, а клијенти се жале на проверу на начине које фирмвер не може да угуши. Процените да ли је та жалба важна за оно што штитите уместо да свако упозорење третирате као кобно, и не искључујте проверу глобално да ућуткате једну поруку. Упозорење које сте проценили је документован ризик; подешавање провере које сте онемогућили није документовано.

Када фирмвер не пружа подржан начин да исправите упозорење које је заиста важно, тај јаз говори у прилог хостовању VPN-а негде другде. Избор између поправке профила, прихватања упозорења и премештања крајње тачке је одлука о томе колико верујете том сертификату. Донесите је намерно и запишите коју сте опцију изабрали, уместо да кликћете кроз дијалоге док иконица не постане зелена.