LINUX.ORG.RU

OpenVPN отказывается работать на Linux Fedora 41

 ,


0

0

Помогите разобраться в чем может быть дело и почему не проходит подключение

client
remote {host} {port}
proto udp
dev tap
cipher BF-CBC

comp-lzo
pull

tls-client
ca ca.crt
cert    client.crt
key     client.key

tls-auth        ta.key 1
auth-nocache

verb 3
persist-key
persist-tun
route-method exe
explicit-exit-notify

Вывод после команды sudo openvpn --config client.ovpn

2025-01-15 22:41:34 WARNING: Compression for receiving enabled. Compression has been used in the past to break encryption. Sent packets are not compressed unless "allow-compression yes" is also set.
2025-01-15 22:41:34 DEPRECATED OPTION: --cipher set to 'BF-CBC' but missing in --data-ciphers (AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305). OpenVPN ignores --cipher for cipher negotiations. 
2025-01-15 22:41:34 Note: '--allow-compression' is not set to 'no', disabling data channel offload.
2025-01-15 22:41:34 OpenVPN 2.6.12 x86_64-redhat-linux-gnu [SSL (OpenSSL)] [LZO] [LZ4] [EPOLL] [PKCS11] [MH/PKTINFO] [AEAD] [DCO]
2025-01-15 22:41:34 library versions: OpenSSL 3.2.2 4 Jun 2024, LZO 2.10
2025-01-15 22:41:34 DCO version: N/A
2025-01-15 22:41:34 WARNING: No server certificate verification method has been enabled.  See http://openvpn.net/howto.html#mitm for more info.
2025-01-15 22:41:34 TCP/UDP: Preserving recently used remote address: [AF_INET]{host}:{port}
2025-01-15 22:41:34 Socket Buffers: R=[212992->212992] S=[212992->212992]
2025-01-15 22:41:34 UDPv4 link local: (not bound)
2025-01-15 22:41:34 UDPv4 link remote: [AF_INET]host:port
2025-01-15 22:41:34 TLS: Initial packet from [AF_INET]host:port, sid=9cc7d8d8 906ec878
2025-01-15 22:41:34 VERIFY OK: depth=1, CN=ovpn
2025-01-15 22:41:34 VERIFY OK: depth=0, CN=ovpn
2025-01-15 22:41:34 Control Channel: TLSv1.3, cipher TLSv1.3 TLS_AES_256_GCM_SHA384, peer certificate: 384 bits ECsecp384r1, signature: RSA-SHA256, peer temporary key: 253 bits X25519
2025-01-15 22:41:34 [ovpn] Peer Connection Initiated with [AF_INET]{host}:{port}
2025-01-15 22:41:34 TLS: move_session: dest=TM_ACTIVE src=TM_INITIAL reinit_src=1
2025-01-15 22:41:34 TLS: tls_multi_process: initial untrusted session promoted to trusted
2025-01-15 22:41:35 SENT CONTROL [ovpn]: 'PUSH_REQUEST' (status=1)
2025-01-15 22:41:35 WARNING: Received control with invalid characters: 50555348 5f524550 4c592c73 6e646275 66200909 09333933 3231362c 72637662 75662009 09093339 33323136 2c726f75 74652d64 656c6179 20332c72 6f757465 20313732 2e31372e 302e3020 3235352e 3235352e 302e302c 726f7574 65203137 322e3234 2e313238 2e302032 353[more...]
2025-01-15 22:41:40 SENT CONTROL [ovpn]: 'PUSH_REQUEST' (status=1)

Гуглеж отдельных ворнингов особых результатов не принес. Также этот же конфиг вполне работает на TileOS где в основе debian/



Последнее исправление: sabbraxcaddabra (всего исправлений: 1)
Ответ на: комментарий от Shprot

К сожалению подключения не случилось, но вывод теперь такой

2025-01-16 19:53:19 WARNING: Compression for receiving enabled. Compression has been used in the past to break encryption. Sent packets are not compressed unless "allow-compression yes" is also set.
2025-01-16 19:53:19 DEPRECATED OPTION: --cipher set to 'BF-CBC' but missing in --data-ciphers (AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305). OpenVPN ignores --cipher for cipher negotiations. 
2025-01-16 19:53:19 Note: '--allow-compression' is not set to 'no', disabling data channel offload.
2025-01-16 19:53:19 OpenVPN 2.6.12 x86_64-redhat-linux-gnu [SSL (OpenSSL)] [LZO] [LZ4] [EPOLL] [PKCS11] [MH/PKTINFO] [AEAD] [DCO]
2025-01-16 19:53:19 library versions: OpenSSL 3.2.2 4 Jun 2024, LZO 2.10
2025-01-16 19:53:19 DCO version: N/A
2025-01-16 19:53:19 TCP/UDP: Preserving recently used remote address: [AF_INET]82.137.166.102:1194
2025-01-16 19:53:19 Socket Buffers: R=[212992->212992] S=[212992->212992]
2025-01-16 19:53:19 UDPv4 link local: (not bound)
2025-01-16 19:53:19 UDPv4 link remote: [AF_INET]82.137.166.102:1194
2025-01-16 19:53:19 TLS: Initial packet from [AF_INET]82.137.166.102:1194, sid=db3560f7 3645cfc8
2025-01-16 19:53:19 VERIFY OK: depth=1, CN=ovpn
2025-01-16 19:53:19 VERIFY KU OK
2025-01-16 19:53:19 Validating certificate extended key usage
2025-01-16 19:53:19 ++ Certificate has EKU (str) TLS Web Server Authentication, expects TLS Web Server Authentication
2025-01-16 19:53:19 VERIFY EKU OK
2025-01-16 19:53:19 VERIFY OK: depth=0, CN=ovpn
2025-01-16 19:53:19 Control Channel: TLSv1.3, cipher TLSv1.3 TLS_AES_256_GCM_SHA384, peer certificate: 384 bits ECsecp384r1, signature: RSA-SHA256, peer temporary key: 253 bits X25519
2025-01-16 19:53:19 [ovpn] Peer Connection Initiated with [AF_INET]82.137.166.102:1194
2025-01-16 19:53:19 TLS: move_session: dest=TM_ACTIVE src=TM_INITIAL reinit_src=1
2025-01-16 19:53:19 TLS: tls_multi_process: initial untrusted session promoted to trusted
2025-01-16 19:53:20 SENT CONTROL [ovpn]: 'PUSH_REQUEST' (status=1)
2025-01-16 19:53:20 WARNING: Received control with invalid characters: 50555348 5f524550 4c592c73 6e646275 66200909 09333933 3231362c 72637662 75662009 09093339 33323136 2c726f75 74652d64 656c6179 20332c72 6f757465 20313732 2e31372e 302e3020 3235352e 3235352e 302e302c 726f7574 65203137 322e3234 2e313238 2e302032 353[more...]
sabbraxcaddabra
() автор топика
Ответ на: комментарий от sabbraxcaddabra

Чел, ты бы обращал внимание на заветные слова в выхлопе и гуглил. В твоём случае надо обращать внимание на WARNING. Попробуй убрать на обеих сторонах параметр comp-lzo. Нафига сжимать трафик при передаче? Во-вторых DEPRECATED OPTION формат шифрования BF-CBC устаревший. Желательно выбрать другой. В-третьих затри свои IP-адреса, которые никому не нужны и давай уже конфиг и сервера и клиента сюда.

P.S> Покажи ещё сто там у тебя в openvpn --version. Чую я на чём сижу, что там что-то с версией не то

Shprot ★★
()
Последнее исправление: Shprot (всего исправлений: 1)
Ответ на: комментарий от sabbraxcaddabra
cipher BF-CBC

Старый механизм шифрования. Может там ещё и TLS 1.0?

Вы бы, всё же в тех поддержку вуза обратились.

Если, конечно, вы сами не являетесь технической поддержкой.

kostik87 ★★★★★
()
Ответ на: комментарий от kostik87

Сервак может поддерживать несколько механизмов. Пусть просто в конфиге (клиента) выкинет эту строку и попробует.

Как вариант нужно даунгредить клиента но хз где он его найдет под Fedora41.

mx__ ★★★★★
()
Ответ на: комментарий от mx__

Как вариант нужно даунгредить клиента но хз где он его найдет под Fedora41.

Если на сервере старый openssl и TLS 1.0 - нужно в конфиге openssl на клиенте разрешить устаревшие протоколы TLS / SSL.

kostik87 ★★★★★
()
Ответ на: комментарий от kostik87

нужно в конфиге openssl на клиенте разрешить устаревшие протоколы TLS / SSL

Можно предложить вообще подключаться по гипертерминалу

Shprot ★★
()
Последнее исправление: Shprot (всего исправлений: 1)
Ответ на: комментарий от Shprot

Дело в том, что если пофиксить отдельно все предупреждения, то подключение все равно не наступает. Плюс в деривативе дебиан с тем же конфигом на openvpn-2.6 все работает. Поэтому подумал, что возможно в каких-то настройках fedora

Вывод команды openvpn --version

OpenVPN 2.6.12 x86_64-redhat-linux-gnu [SSL (OpenSSL)] [LZO] [LZ4] [EPOLL] [PKCS11] [MH/PKTINFO] [AEAD] [DCO]
library versions: OpenSSL 3.2.2 4 Jun 2024, LZO 2.10
DCO version: N/A
Originally developed by James Yonan
Copyright (C) 2002-2024 OpenVPN Inc <sales@openvpn.net>
Compile time defines: enable_async_push=yes enable_comp_stub=no enable_crypto_ofb_cfb=yes enable_dco=yes enable_dco_arg=yes enable_debug=yes enable_dependency_tracking=no enable_dlopen=unknown enable_dlopen_self=unknown enable_dlopen_self_static=unknown enable_fast_install=needless enable_fragment=yes enable_iproute2=no enable_libtool_lock=yes enable_lz4=yes enable_lzo=yes enable_management=yes enable_pam_dlopen=no enable_pedantic=no enable_pkcs11=yes enable_plugin_auth_pam=yes enable_plugin_down_root=yes enable_plugins=yes enable_port_share=yes enable_selinux=yes enable_shared=yes enable_shared_with_static_runtimes=no enable_silent_rules=yes enable_small=no enable_static=yes enable_strict=no enable_strict_options=no enable_systemd=yes enable_werror=no enable_win32_dll=yes enable_wolfssl_options_h=yes enable_x509_alt_username=yes with_aix_soname=aix with_crypto_library=openssl with_gnu_ld=yes with_mem_check=no with_openssl_engine=auto with_sysroot=no
sabbraxcaddabra
() автор топика
Ответ на: комментарий от kostik87

Звучит похожим на правду. Можете подсказать как это правильно сделать в fedora?

Немного погуглив я нашел два варианта:

  1. Команда sudo update-crypto-policies --set LEGACY плодов не дала
  2. В конфиг /etc/ssl/openssl.cnf добавил следующее, но эффекта также не случилось
[openssl_init]
providers = provider_sect
# Load default TLS policy configuration
ssl_conf = ssl_sect
alg_section = evp_properties

[ssl_sect]
system_default = system_default_sect

[system_default_sect]
MinProtocol = TLSv1.0
CipherString = ALL@SECLEVEL=1
sabbraxcaddabra
() автор топика
Ответ на: комментарий от sabbraxcaddabra

Я думаю, что проблема вот здесь:

DEPRECATED OPTION: --cipher set to 'BF-CBC' but missing in --data-ciphers (AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305). OpenVPN ignores --cipher for cipher negotiations. 

Попробуй добавить дополнительно вот эту строку:

data-ciphers AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305:AES-256-CBC:BF-CBC

К той, что уже есть:

cipher BF-CBC

И всё же обратись в техническую поддержку.

kostik87 ★★★★★
()