Зашто се OpenVPN профил не увози у SoftEther

Две датотеке које обе изгледају као VPN конфигурација заврше у истој фасцикли, а ради само једна од њих. OpenVPN профил описује TLS тунел са директивама које тај клијент разуме, док SoftEther веза описује сесију према виртуелном чворишту са другачијим уговором о аутентификацији. Претварање једног у друго није вежба у форматирању, јер два клијента не имплементирају исти протокол. Утврђивање коју је услугу оператер заиста објавио одређује све што следи.

Две датотеке, два уговора

OpenVPN профил је конфигурација клијента: удаљена крајња тачка, транспорт, TLS материјал и директиве за рутирање и поновно преговарање. SoftEther веза је нативна клијентска сесија према виртуелном чворишту, са виртуелним адаптером прикљученим на њу.

Могу да описују приступ истој мрежи без тога да буду заменљиви. OpenVPN слушалац је функција компатибилности коју сервер може да објави на одвојеном порту, и он говори OpenVPN уместо нативног протокола. Нативни клијент говори нативни протокол и очекује сопствени профил. Један сервер, двоја врата, и свака врата имају свој кључ.

Наставак датотеке вам не говори готово ништа, зато је одговор оператера важнији од имена датотеке.

Прочитајте сервер пре него што дотакнете блок сертификата

Питајте оператера три ствари: који порт и транспорт, који метод аутентификације и који клијент очекују. Ти одговори уклањају већину нагађања.

Затим потврдите шта заиста слуша, а не шта тврди водич. Искључен слушалац компатибилности не показује ништа на свом порту, а укључен показује сокет чак и када се нико никада није повезао. Разлика између затвореног порта и одбијене пријаве је прва корисна дијагностика. Све после тога зависи од тога на која су врата покуцали.

ss -lunp | grep -E ':1194|:443'
sudo ss -ltnp | grep -E ':992|:5555'
grep -nE '^(remote|proto|auth-user-pass|ca |cert |key )' profile.ovpn

UDP порт који недостаје на листи слушалаца је искључена функција, а не проблем са заштитним зидом.

Шта је нативном клијенту потребно и шта му профил не може дати

Нативни клијент инсталира виртуелни мрежни адаптер и везује везу за њега. Без тог адаптера нема интерфејса кроз који би се рутирало, зато нативна веза може да се аутентификује и ипак не преноси саобраћај.

Нативна аутентификација се извршава према виртуелном чворишту, са корисничким објектом који је направио администратор чворишта. Блокови сертификата копирани из OpenVPN профила не постају корисници чворишта, а корисник чворишта не постаје клијентски сертификат. Два система чувају различите ствари, а профил нема где да стави запис корисника чворишта. То је структурна разлика, а не проблем синтаксе.

Држите приватни кључ далеко од сваке услуге претварања, јер кључ који напусти машину мора да се сматра откривеним.

Шта прихвата слушалац компатибилан са OpenVPN

Слушалац компатибилности је прави OpenVPN сервер из перспективе клијента: очекује OpenVPN клијента и директиве које тај клијент подржава. Уграђени блокови сертификата су функција OpenVPN и припадају оној страни ограде.

Оно што неће да уради јесте да прихвати нативни SoftEther профил, јер тај профил није OpenVPN конфигурација. Слушалац такође не претвара нативног клијента у OpenVPN клијента. Ако оператер нуди само нативну услугу, одговор је нативни клијент; ако нуди слушалац компатибилности, одговор је OpenVPN и његов сопствени материјал.

Затражите оператеров подржани извоз уместо да га сами састављате од делова, јер извоз носи детаље које ручно направљена датотека обично пропусти.

Докажите путању пре него што уредите директиве

Када је клијент изабран, тестирајте тунел пре него што дотакнете руте. Успешна пријава и интерфејс који преноси саобраћај су два различита резултата.

sudo openvpn --config profile.ovpn --verb 3
ip -br addr
ip route get 10.70.4.20
resolvectl status | grep -A2 'DNS Servers'

Упоредите додељену адресу са базеном који је оператер описао, затим одвојено погледајте руте и резолвер. Нативна веза са чвориштем може чисто да се аутентификује и да уопште не инсталира руте, што са стране клијента изгледа као покварен тунел. Тек кад се та три поклопе, вреди уредити директиву. Раније уређивање крије који је слој био погрешан.