Netgear OpenVPN: TUN và TAP lắng nghe trên các cổng khác nhau

Một chiếc điện thoại kết nối với VPN của router mà không gặp trục trặc, trong khi một máy tính xách tay dùng hồ sơ từ cùng trang tải xuống lại hết thời gian. Không có gì về chứng chỉ thay đổi giữa hai lần thử đó, vì máy tính xách tay chưa bao giờ đi đến điểm mà chứng chỉ trở nên quan trọng. Router công bố các bộ lắng nghe riêng cho TUN và TAP, và một hồ sơ hoạt động phải chọn bộ thuộc đúng loại thiết bị của nó.

Quyết định theo đuổi lỗi nào trong ba lỗi khả dĩ là toàn bộ công việc ở đây: cổng, loại thiết bị hay việc thương lượng mật mã của kênh dữ liệu.

Ba điều phải khớp nhau

Loại thiết bị, dòng giao diện của hồ sơ và cổng lắng nghe tạo thành một lựa chọn, không phải ba. Một hồ sơ khai báo dev tun và nhắm vào bộ lắng nghe TAP không thể hoàn tất phiên, và chiều ngược lại cũng thất bại y như vậy. Với kiểu máy và phần sụn của bạn, hãy đọc cổng từ chính trang VPN của router chứ không phải từ hướng dẫn, vì các con số thay đổi giữa các bản dựng. Ghi kiểu máy và phiên bản phần sụn bên cạnh con số đó để người tiếp theo có thể xác minh.

Các báo cáo thực địa đề cập một cặp như 12973 cho TUN và 12974 cho TAP trên một bản phần sụn, và một con số khác trên bản khác. Hãy đọc chúng như bằng chứng rằng các bản dựng khác nhau, chứ không phải hằng số để sao chép. Sau đó hồ sơ cần tên máy chủ phù hợp với khoảng cách: tên DNS động của router thay vì địa chỉ WAN sẽ thay đổi.

Sau khi sửa cổng và dòng giao diện, hồ sơ trông giống một cấu hình máy khách thông thường với một dòng remote và một dòng dev. Nếu hai thứ đó không khớp, bao nhiêu lần thử lại cũng không tạo ra phiên.

Đọc nhật ký theo thứ tự nó được in ra

Một máy khách OpenVPN báo cáo sự kiện theo thứ tự chúng xảy ra, nên dòng cuối cùng trước sự im lặng xác định tầng cần kiểm tra. Khi lần chạy kết thúc tại TLS Error: TLS key negotiation failed, hoặc chỉ chờ phản hồi đầu tiên rồi bỏ cuộc, việc so sánh chứng chỉ chưa bao giờ diễn ra. Điều đó chỉ vào khả năng tiếp cận, vào bộ lắng nghe, hoặc vào một cổng không có gì phía sau. Không điều nào trong số đó được sửa bằng cách thay tệp CA.

Một lần chạy đến được VERIFY OK rồi thất bại nằm ở nơi hoàn toàn khác, với nguyên nhân riêng. Việc tách hai kết cục đó trước khi chạm vào tệp giúp tránh lối vòng kinh điển qua các gói chứng chỉ chưa từng được hỏi tới. Khi bắt tay đã xong nhưng đường hầm không lên, hãy xem việc thương lượng mật mã thay vì khả năng tiếp cận.

Thêm danh sách mật mã mà một máy khách hiện đại mong đợi

Các máy khách OpenVPN gần đây từ chối những giá trị mặc định cũ mà phần sụn gia đình vẫn cung cấp, và triệu chứng là thất bại thương lượng ngay sau một lần bắt tay thành công. Cách sửa là một dòng hồ sơ nêu rõ điều máy khách sẽ chấp nhận: đặt data-ciphers thành AES-256-GCM, AES-128-GCM, CHACHA20-POLY1305 và AES-128-CBC theo thứ tự đó. Bất kỳ thuật toán nào router không triển khai sẽ đơn giản là không bao giờ được chọn, nên danh sách dài hơn chẳng tốn gì ngoài một cuộc thương lượng dài hơn một chút.

Liệt kê mật mã không dạy cho router một thuật toán mà nó không có. Nếu thương lượng vẫn thất bại, hãy kiểm tra xem trang router có cài đặt mật mã riêng không và cài đặt đó có ít nhất một mục mà máy khách chấp nhận không. Hai danh sách không có phần tử chung tạo ra đúng thất bại như một cổng sai, đó là lý do cả hai đầu đều đáng được xem xét.

Nhập một lần thay vì sửa bản sao bằng tay

Nhập tệp đã sửa vào NetworkManager giúp tránh một thư mục đầy những hồ sơ hơi khác nhau: nmcli connection import type openvpn file client.ovpn, rồi bật nó lên theo tên. Giữ hồ sơ đã nhập là bản sao duy nhất bạn chỉnh sửa, và xóa những bản trùng tích tụ từ việc tải xuống lặp lại.

Sau đó thử từ bên ngoài LAN. Kết nối từ cùng mạng chứng minh rất ít, vì lưu lượng có thể không hề đi qua đường hầm. Hãy xác nhận rằng một yêu cầu thực sự đi ra qua router, chứ không chỉ là máy khách hiển thị trạng thái đã kết nối.

Quyết định xem sẽ làm gì với các cảnh báo

Phần sụn gia đình thường tự tạo cơ quan chứng chỉ của riêng nó, và máy khách phàn nàn về việc xác minh theo những cách mà phần sụn không thể dập tắt. Hãy đánh giá xem lời phàn nàn đó có quan trọng với thứ bạn đang bảo vệ hay không thay vì coi mọi cảnh báo là chí mạng, và đừng tắt xác minh trên toàn cục chỉ để làm im một thông báo. Một cảnh báo bạn đã đánh giá là rủi ro được ghi lại; một cài đặt xác minh bạn đã tắt thì không được ghi lại.

Khi phần sụn không cung cấp cách được hỗ trợ nào để sửa một cảnh báo thực sự quan trọng, khoảng trống đó lập luận cho việc lưu trữ VPN ở nơi khác. Lựa chọn giữa sửa hồ sơ, chấp nhận cảnh báo và di chuyển điểm cuối là quyết định về mức độ bạn tin tưởng chứng chỉ đó. Hãy đưa ra quyết định một cách có chủ đích, và ghi lại bạn đã chọn phương án nào, thay vì bấm qua các hộp thoại cho đến khi biểu tượng chuyển xanh.