DD-WRT'da OpenVPN 2.5 tinglovchisi o'ldimi? U yaratgan konfiguratsiyani o'qing

DD-WRT'da o'lik tinglovchi odatda daemon o'z konfiguratsiyasini tahlil qilayotganda chiqib ketganini bildiradi, firewall qoidasi portni to'sganini emas. OpenVPN 2.5 eski konfiguratsiyalar tayangan bir nechta standart qiymatni qattiqlashtirdi va eski buildda ishlagan yaratilgan konfiguratsiya soket ochilishidan oldin rad etilishi mumkin. Sabab routerning o'z jurnalida, kirish esa yaratilgan faylda. Ikkalasini shu tartibda o'qish har qanday paket ushlashdan tezroq.

Daemon firewall emas

Bu farq muhim, chunki tashqaridan ikkala nosozlik bir xil ko'rinadi: mijoz handshake yuboradi va hech narsa qaytmaydi. Biri ishlamayotgan jarayon, ikkinchisi ishlab turgan va filtrlayotgan jarayon.

Biror narsani o'zgartirishdan oldin ularni ikki tekshiruv bilan ajrating, chunki o'lik daemonda firewall tahriri faqat ikkinchi o'zgaruvchini qo'shadi.

DD-WRT yaratgan konfiguratsiyani o'qing

DD-WRT veb interfeysga yozgan matnni OpenVPN'ga bermaydi. U yaratilgan konfiguratsiyani /tmp/openvpn/openvpn.conf ichiga yozadi va daemonni shu fayl bilan ishga tushiradi, shuning uchun interfeys maydonlari va Additional Config'dagi har qanday matn OpenVPN ularni ko'rishidan oldin birlashtiriladi. Yaratilgan fayl o'rniga formani debug qilsangiz, siz niyatni o'qiyapsiz, haqiqiy kirishni emas. Qayta ishga tushirish /tmp ni tozalashidan oldin o'sha faylni doimiy joyga nusxalang.

Yaratilgan faylni mo'ljallagan narsangiz bilan solishtiring, ayniqsa interfeys siz hech qachon tanlamagan direktivani yozadigan joylarda. Eskirgan variantni chiqaradigan ochiluvchi ro'yxat formada ko'rinmaydi va daemon uchun halokatli.

Agar yaratilgan fayl bo'sh bo'lsa yoki mavjud bo'lmasa, daemon ishga tushishga ham yetmagan, muammo OpenVPN'dan yuqorida.

OpenVPN 2.5 nimani qabul qilishni to'xtatdi

OpenVPN 2.5 ncp-ciphers o'rniga data-ciphers qo'ydi va standart minimal TLS versiyasini 1.2 ga ko'tardi. Siqishni qayta ishlashni ham o'zgartirdi, shuning uchun siqishni taklif qilgan tomon konfiguratsiya aniq ruxsat bermasa rad etiladi, va ns-cert-type kabi eski variant nomlarini remote-cert-tls foydasiga eskirgan deb e'lon qildi. Bu o'zgarishlarning har biri avval ishlagan konfiguratsiyani tahlil yoki muzokara nosozligiga aylantiradi.

Nosozlik usuli direktivaga bog'liq. Noma'lum yoki olib tashlangan variant daemonni ishga tushishda to'xtatadi, bu sizning o'lik tinglovchingiz. Muzokaradagi nomuvofiqlik daemonni ishlashda qoldiradi va mijozlarni rad etadi, bu mijoz tomondan firewall muammosiga o'xshaydi.

Jurnaldagi birinchi xatoni o'qing, oxirgisini emas. Tahlil birinchi yomon direktivada to'xtaydi va undan keyingi hamma narsa o'chirish shovqini.

Broadcom'ga xos shartlar

Broadcom buildlarida tunnel qurilmasi daemon uni ishlatishidan oldin mavjud bo'lishi kerak. tun moduli yuklanganini va /dev/net/tun mavjudligini tekshiring, chunki qurilma yo'qligi sertifikatlarga hech qanday aloqasi bo'lmagan ishga tushish nosozligini keltirib chiqaradi. Xuddi shu narsa DD-WRT marshrutlar va DNS uchun yaratadigan yordamchi skriptlarga ham tegishli: ular bo'lmasa yoki bajariladigan bo'lmasa, daemon ishga tushishi mumkin va baribir sozlamasini tugata olmaydi.

Haqiqiy xabar kerak bo'lganda daemonni yaratilgan konfiguratsiya ustida yuqori tafsilot bilan oldingi planda ishga tushiring. Oldingi planda ishga tushirish init skript yutib yuborgan tahlil xatosini chop etadi.

Keyin odatdagi xizmatni tiklang, chunki oldingi plandagi daemon va init skript port uchun talashadi.

Mijozlarni debug qilishdan oldin tinglovchi mavjudligini isbotlang

Jarayon va soketni alohida tasdiqlang: biri ishlab turgan daemon uchun, ikkinchisi kutilgan manzilda bog'langan UDP port uchun. Soketsiz jarayon hali sozlashda yoki noto'g'ri interfeysga bog'langanini bildiradi. Bu juftlik foydali sinov, chunki bir yarmi ikkinchisisiz to'g'ri bo'la olmaydi.

Mijoz tomondagi debug tinglovchi mavjud bo'lgandan keyingina mantiqiy. Shunda mijozning shifr va TLS sozlamalari serverning data-ciphers ro'yxati va minimal versiyasiga mos kelishini, port haqiqatan routerga yo'naltirilganini tekshiring.

Yaratilgan konfiguratsiyani va tuzatishni isbotlagan jurnal satrini saqlang. Keyingi firmware yangilanishi standart qiymatlarni yana o'zgartirishi mumkin va aynan o'sha yozuv takrorni besh daqiqalik tekshiruvga aylantiradi.