LINUX.ORG.RU
Форум — Admin  

OpenVPN ошибка tls

 


0

1

Привет всем!

Совсем ума не приложу, что делать. В общем есть у меня два роутера RT-N56U на который я поставил альтернативную прошивку и поднял OpenVPN по инструкции https://code.google.com/p/rt-n56u/wiki/HowToConfigureOpenvpnServer . В роутерах всё заработало. И работает отлично, как часики.

Решил я временно отключить клиента роутера и поставить на удалённый компьютер клиента OpenVPN. Скопировал сертификаты и вот какая выдаётся ошибка

TLS Error: Unroutable control packet received from [AF_INET]Мой IP адрес:1194 (si=3 op=P_CONTROL_V1)

Как можно исправить эту ошибку?



Последнее исправление: Andrei_IW (всего исправлений: 3)

Конфиг клиента OpenVPN

dev tun 
proto udp 
remote мой IP адрес 1194
route-delay 3 
client 
tls-client 
ns-cert-type server 
ca ca.crt 
cert client.crt 
key client.key 
tls-auth ta.key 1 
comp-lzo 
tun-mtu 1500 
tun-mtu-extra 32 
mssfix 1450 
ping-restart 60 
ping 10 
status C:\\Program Files\\OpenVPN\\openvpn-status.log 
log C:\\Program Files\\OpenVPN\\openvpn.log 
verb 3
Andrei_IW
() автор топика
Ответ на: комментарий от post-factum

Я закомментировал строки 

status C:\\Program Files\\OpenVPN\\openvpn-status.log 
log C:\\Program Files\\OpenVPN\\openvpn.log

и вот что теперь получил

tls error: bio read tls_read_plaintext error
Andrei_IW
() автор топика
Ответ на: комментарий от Andrei_IW

путь к каталогу с сертификатами укажи через cd «C:\\Program Files\\OpenVPN\\...» в начале или полные пути к сертификатам указывай.

vel ★★★★★
()
Ответ на: комментарий от vel

Пробовал так делать. Но если так сделать подключение вообще не происходит. В логах не одной строчки не появляется.

Andrei_IW
() автор топика

Попробуйте\ для\ начала\ экранировать\ пробелы\ каким-либо\ образом.

dhameoelin ★★★★★
()
Ответ на: комментарий от vel

Привёл файл к нужному виду 


dev tun 
proto udp 
remote Мой IP адрес 1194
route-delay 3 
client 
tls-client 
ns-cert-type server

 
ca "C:\\Program Files\\OpenVPN\\config\\ca.crt" 
cert "C:\\Program Files\\OpenVPN\\config\\client.crt"  
key "C:\\Program Files\\OpenVPN\\config\\client.key"
tls-auth "C:\\Program Files\\OpenVPN\\config\\ta.key" 1 


comp-lzo 
tun-mtu 1500 
tun-mtu-extra 32 
mssfix 1450 
ping-restart 60 
ping 10

 
status "C:\\Program Files\\OpenVPN\\log\\openvpn-status.log"
log "C:\\Program Files\\OpenVPN\\log\\openvpn.log"


verb 3

Andrei_IW
() автор топика
Ответ на: комментарий от Andrei_IW

И вот какой лог появился, вернее приведу ошибки из лога 

VERIFY OK: depth=1, C=RU, ST=Some-State, O=My RT-N56U Ltd, CN=OpenVPN, emailAddress=admin@my.router
VERIFY nsCertType ERROR: CN=OpenVPNserver, require nsCertType=SERVER
TLS_ERROR: BIO read tls_read_plaintext error: error:14090086:SSL routines:SSL3_GET_SERVER_CERTIFICATE:certificate verify failed
TLS Error: TLS object -> incoming plaintext read error
TLS Error: TLS handshake failed

Andrei_IW
() автор топика
Ответ на: комментарий от Andrei_IW

А в самом конце сыпется подряд одна ошибка

Unroutable control packet received from [AF_INET]188.233.190.16:1194 (si=3 op=P_ACK_V1)
TLS Error: Unroutable control packet received from [AF_INET]188.233.190.16:1194 (si=3 op=P_CONTROL_V1)
TLS Error: Unroutable control packet received from [AF_INET]188.233.190.16:1194 (si=3 op=P_CONTROL_V1)
Andrei_IW
() автор топика
Ответ на: комментарий от Andrei_IW

Меня заинтересовала строка VERIFY nsCertType ERROR: CN=OpenVPNserver, require nsCertType=SERVER . Странно, клиент OpenVPN на компьютере ругается, а клиент OpenVPN на роутере здорово работает. Сертификаты одни и те-же. Может в конфиге компьютерного клиента OpenVPN что не так?

Andrei_IW
() автор топика
Ответ на: комментарий от Andrei_IW

А вот что пишет в лог клиент OpenVPN роутера

WARNING: No server certificate verification method has been enabled.  See http://openvpn.net/howto.html#mitm for more info.
openvpn-cli[793]: NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
openvpn-cli[793]: Control Channel Authentication: using '/etc/storage/openvpn/client/ta.key' as a OpenVPN static key file
Andrei_IW
() автор топика
Ответ на: комментарий от Andrei_IW

При этом клиент OpenVPN роутера прекрасно подключается к серверу и работает без сбоев. Что можно ещё попробовать?

Andrei_IW
() автор топика
Ответ на: комментарий от Andrei_IW

Ура ура ура!!!! Заработало. Я взял конфиг с клиента OpenVPN роутера и адаптировав пути под Windows подсунул его клиенту OpenVPN Windows и всё заработало. Заработало как часики. Вот окончательный, рабочий конфиг клиента OpenVPN под Windows

client
proto udp
remote Мой IP адрес 1194
resolv-retry infinite
nobind
dev tun0

ca "C:\\Program Files\\OpenVPN\\config\\ca.crt"
cert "C:\\Program Files\\OpenVPN\\config\\client.crt"
key "C:\\Program Files\\OpenVPN\\config\\client.key"
tls-auth "C:\\Program Files\\OpenVPN\\config\\ta.key" 1
auth SHA1

cipher BF-CBC
comp-lzo adaptive

 
status "C:\\Program Files\\OpenVPN\\log\\openvpn-status.log"
log "C:\\Program Files\\OpenVPN\\log\\openvpn.log"
Andrei_IW
() автор топика
Ответ на: комментарий от Andrei_IW

Проблема у вас в том, что вы либо используете серверный ключ на клиенте (ns cert type = server), либо наоборот. А в новом конфиге нет строчки 

ns-cert-type server
вот и подключается. Это может быть опасно потому, что кто-то с другим клиентским сертификатом (просто другой клиент этого VPN-сервиса) может поднять VPN-сервер и сделать MITM, и вы к нему успешно подключитесь.

ValdikSS ★★★★★
()
26 апреля 2015 г.
Ответ на: комментарий от ValdikSS

У меня то же самое, если я убираю из конфига клиента эту строчку (ns-cert-type server), то подключается. Ключи и сертификаты делал по этой инструкции: http://www.stableit.ru/2014/12/openvpn-centos-7-mac-os.html (внизу страницы), только у меня клиент на windows, а сервер так же на CentOS 7. Подскажите пожалуйста, что не так в этой инструкции.

anonymous
()
Ответ на: комментарий от anonymous

EasyRSA3 генерирует ключи без поля Netscape Cert Type, т.к. оно устарело. Используйте 

remote-cert-tls server

ValdikSS ★★★★★
()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
Admin