Netgear OpenVPN: TUN va TAP turli portlarda tinglaydi

Telefon routerning VPN-iga hech qanday shikoyatsiz ulanadi, xuddi shu yuklab olish sahifasidagi profildan foydalanadigan noutbuk esa vaqt tugashi bilan yakunlanadi. Bu ikki urinish orasida sertifikatlarda hech narsa o'zgarmadi, chunki noutbuk sertifikatlar ahamiyatli bo'ladigan nuqtaga hech qachon yetib bormadi. Router TUN va TAP uchun alohida tinglovchilarni e'lon qiladi va ishlaydigan profil o'z qurilma turiga tegishlisini tanlashi kerak.

Uchta mumkin bo'lgan nosozlikdan qaysi birini ta'qib qilishni hal qilish bu yerda butun ish: port, qurilma turi yoki ma'lumot kanalining shifr muzokarasi.

Mos kelishi kerak bo'lgan uch narsa

Qurilma turi, profilning interfeys satri va tinglovchi porti uchta emas, bitta tanlovni tashkil qiladi. dev tun deb e'lon qilgan va TAP tinglovchisiga qaratilgan profil sessiyani yakunlay olmaydi, buning aksi ham xuddi shunday muvaffaqiyatsiz bo'ladi. O'z modelingiz va mikrodasturingiz uchun portni qo'llanmadan emas, routerning o'z VPN sahifasidan o'qing, chunki raqamlar versiyalar orasida o'zgaradi. Model va mikrodastur versiyasini shu raqamning yoniga yozib qo'ying, keyingi odam tekshira oladi.

Dala hisobotlari bir mikrodasturda TUN uchun 12973 va TAP uchun 12974 kabi juftlikni, boshqasida boshqa raqamni tilga oladi. Ularni versiyalar farqlanishining dalili sifatida o'qing, ko'chiriladigan o'zgarmaslar sifatida emas. Keyin profil masofaga mos xost nomiga muhtoj: o'zgaradigan WAN manzili emas, routerning dinamik DNS nomi.

Port va interfeys satrini tuzatgandan so'ng profil bitta remote satri va bitta dev satri bo'lgan oddiy mijoz konfiguratsiyasiga o'xshaydi. Agar ikkisi mos kelmasa, qancha qayta urinish ham sessiya hosil qilmaydi.

Jurnalni chop etilgan tartibda o'qing

OpenVPN mijozi voqealarni ular sodir bo'lgan tartibda xabar qiladi, shuning uchun sukunatdan oldingi oxirgi satr tekshiriladigan qatlamni ko'rsatadi. Ish TLS Error: TLS key negotiation failed satrida tugasa yoki shunchaki birinchi javobni kutib, taslim bo'lsa, sertifikatlarni solishtirish hech qachon bo'lmagan. Bu yetib borish, tinglovchi yoki orqasida hech narsa yo'q portga ishora qiladi. Ularning hech biri CA faylini almashtirish bilan tuzatilmaydi.

VERIFY OK satriga yetib, keyin muvaffaqiyatsiz bo'lgan ish butunlay boshqa joyda, o'z sabablari bilan. Fayllarga tegishdan oldin bu ikki natijani ajratish hech qachon so'ralmagan sertifikat to'plamlari orqali o'tadigan odatiy aylanma yo'lni oldini oladi. Qo'l berib ko'rishish tugagan bo'lsa-da tunnel ko'tarilmasa, yetib borishga emas, shifr muzokarasiga qarang.

Zamonaviy mijoz kutadigan shifrlar ro'yxatini qo'shing

So'nggi OpenVPN mijozlari uy mikrodasturi hali taklif qiladigan eski standart qiymatlarni rad etadi, alomat esa muvaffaqiyatli qo'l berib ko'rishishdan so'ng darhol muzokara muvaffaqiyatsizligi. Tuzatish mijoz nimani qabul qilishini nomlaydigan bitta profil satridir: data-ciphers ni shu tartibda AES-256-GCM, AES-128-GCM, CHACHA20-POLY1305 va AES-128-CBC ga o'rnating. Router amalga oshirmagan har qanday algoritm shunchaki hech qachon tanlanmaydi, shuning uchun uzunroq ro'yxat biroz uzunroq muzokaradan boshqa hech narsa turmaydi.

Shifrlarni sanab chiqish routerni unda yo'q narsaga o'rgatmaydi. Muzokara hali ham muvaffaqiyatsiz bo'lsa, router sahifasida o'z shifr sozlamasi bor-yo'qligini va bu sozlamada mijoz qabul qiladigan kamida bitta yozuv bor-yo'qligini tekshiring. Umumiy a'zosi yo'q ikki ro'yxat noto'g'ri port kabi aynan bir xil muvaffaqiyatsizlik beradi, shuning uchun ikkala tomon ham bir qarashga loyiq.

Nusxalarni qo'lda tahrirlash o'rniga bir marta import qiling

Tuzatilgan faylni NetworkManager ga import qilish biroz boshqacha profillar bilan to'la papkadan saqlaydi: nmcli connection import type openvpn file client.ovpn, so'ng uni nomi bilan ko'taring. Import qilingan profilni siz tahrirlaydigan yagona nusxa sifatida saqlang va qayta yuklab olishlardan to'planadigan dublikatlarni o'chiring.

So'ng LAN tashqarisidan sinab ko'ring. Xuddi shu tarmoqdan ulanish juda oz narsani isbotlaydi, chunki trafik tunneldan umuman o'tmasligi mumkin. So'rov haqiqatan ham router orqali chiqishini tasdiqlang, faqat mijoz ulangan holatni ko'rsatishini emas.

Ogohlantirishlar bilan nima qilishni hal qiling

Uy mikrodasturi odatda o'z sertifikat organini yaratadi va mijozlar tekshirish haqida mikrodastur bosa olmaydigan tarzda shikoyat qiladi. Har bir ogohlantirishni halokatli deb hisoblash o'rniga bu shikoyat siz himoya qilayotgan narsa uchun muhimmi-yo'qmi, baholang va bitta xabarni jim qilish uchun tekshirishni global o'chirmang. Siz baholagan ogohlantirish hujjatlashtirilgan xavf; siz o'chirgan tekshirish sozlamasi hujjatlashtirilmagan.

Mikrodastur haqiqatan muhim ogohlantirishni tuzatishning qo'llab-quvvatlanadigan usulini bermasa, bu bo'shliq VPN ni boshqa joyda joylashtirish foydasiga gapiradi. Profilni tuzatish, ogohlantirishni qabul qilish va oxirgi nuqtani ko'chirish o'rtasidagi tanlov o'sha sertifikatga qanchalik ishonishingiz haqidagi qaror. Uni ataylab qabul qiling va qaysi variantni tanlaganingizni yozib qo'ying, belgi yashil bo'lguncha muloqot oynalarida bosish o'rniga.