Manuale Utente (Inglese)

• Per prima cosa, esaminiamo la configurazione più semplice utilizzando una chiave segreta condivisa.

  1. La configurazione minima del server OpenVPN per Keenetic#1:

     dev tun
     ifconfig 10.1.0.1 10.1.0.2
     cipher AES-128-CBC
     <secret>
       <--insert the secret key here
     </secret>
     verb 3
     route 192.168.2.0 255.255.255.0

  2. La configurazione minima del client OpenVPN per Keenetic#2:

     dev tun
     remote KEENETIC-1.mykeenetic.net <-- server's domain name or IP address
     ifconfig 10.1.0.2 10.1.0.1
     cipher AES-128-CBC
     <secret>
       <--insert the secret key here
     </secret>
     verb 3
     route 192.168.1.0 255.255.255.0
     or
     redirect-gateway def1
     or
     route 0.0.0.0 0.0.0.0 <-- if it's neccessary to route all the traffic in the tunnel

  3. Generare una chiave segreta condivisa. Per fare ciò, scaricare e installare OpenVPN da qui: openvpn.net/downloads.html

     In questo esempio, utilizzeremo la versione 2.4.6-I602 per Windows.

     Dopo aver installato il software, riavviare il computer.

     Per impostazione predefinita, il programma verrà installato nella cartella C:\Programmi.

     Eseguire la riga di comando di Windows come amministratore. Andare su C:\Program Files\OpenVPN\bin ed eseguire il comando:

     openvpn.exe --genkey --secret static.key

     

  4. Aprire il file generato static.key con la chiave segreta condivisa in qualsiasi editor di testo (ad esempio Blocco note), copiare il suo contenuto negli appunti (Ctrl-A, Ctrl-C) e incollarlo (Ctrl-V) nelle posizioni appropriate dei file di configurazione del client e del server.

     Esempi di file di configurazione static-server.ovpn per Keenetic#1 e file di configurazione static-client.ovpn per Keenetic#2 con chiave segreta condivisa sono allegati alla fine di questo articolo. In questi file sono presenti altre impostazioni di OpenVPN commentate (che iniziano con ';') che possono essere utilizzate in seguito, se necessario. È possibile utilizzare questi file di configurazione per la verifica sostituendo il nome di dominio KEENETIC-1.mykeenetic.ru in static-client.ovpn con il nome di dominio del proprio Keenetic#1 o il suo indirizzo IP pubblico e una chiave segreta condivisa con quella generata in entrambi i file.

  5. Andare alla pagina 'Altre connessioni' nell'interfaccia web del Keenetic#1 e fare clic su 'Crea connessione' nella sezione 'Connessioni VPN'. Nella finestra 'Impostazioni di connessione VPN', selezionare 'OpenVPN' nel campo 'Tipo (protocollo)'.

     Quindi, inserire il nome della connessione nel campo 'Nome connessione' e inserire il contenuto del file di configurazione static-server.ovpn nel campo 'Configurazione OpenVPN'. Salvare le impostazioni.

     

     Importante

     A partire da KeeneticOS 3.4.1 il server funziona solo quando si specifica 'Connetti tramite' — 'Qualsiasi connessione Internet'.

  6. Allo stesso modo, aggiungere una connessione OpenVPN all'interfaccia web di Keenetic#2, ma con una configurazione static-client.ovpn:

     

  7. Inoltre, sul lato Keenetic#1 (server), i seguenti comandi dovranno essere eseguiti tramite l'interfaccia a riga di comando (CLI) del router:

     interface OpenVPN0 no ip global
     interface OpenVPN0 security-level private

     Per consentire il traffico tra le interfacce Home e OpenVPN0, che hanno un livello di sicurezza privato, eseguire il comando:

     no isolate-private

     Se si prevede di utilizzare questo server anche per connettere il client a Internet, eseguire il comando:

     ip nat 10.1.0.2 255.255.255.255

     e salvare le impostazioni con il comando:

     system configuration save

     

  8. Infine, è necessario aprire una porta per la connessione OpenVPN. La porta predefinita è UDP/1194. Per fare ciò, creare una regola per l'interfaccia 'ISP' o per l'interfaccia utilizzata per accedere a Internet nella pagina 'Firewall' (oltre all'ISP, possono essere interfacce PPPoE, L2TP o PPTP).

     

     Nella finestra 'Regola del firewall', selezionare 'Consenti' nel campo 'Azione', 'UDP' nel campo 'Protocollo' e 'Uguale a 1194' nel campo 'Numero di porta di destinazione'.

     Dopo aver creato la connessione, impostare lo switch su Abilitato.

     

     Questo completa la configurazione del tunnel OpenVPN. Nella pagina 'Altre connessioni' verranno visualizzati lo stato della connessione e le statistiche.

     Per verificare, provare a eseguire il ping di entrambe le estremità del tunnel:

     ping 10.1.0.1
     ping 10.1.0.2

     e quindi le sottoreti remote:

     ping 192.168.1.1
     ping 192.168.2.1

Errori e soluzioni comuni:

1. auth-user-pass senza dati di credenziali in linea non è supportato

   Il file di configurazione contiene una riga per l'inserimento online di login/password, che Keenetic non supporta. Errore nel file di registro Keenetic:

   OpenVPN0 auth-user-pass without inline credentials data is not supported
   OpenVPN0 Exiting due to fatal error

   Eliminare o commentare tutte le righe di questo tipo:

   auth-user-pass

2. Errore dell'opzione Block-outside-dns

   L'opzione block-outside-dns è configurata sul server OpenVPN, che viene gestita correttamente solo in Windows. Errore nel file di registro Keenetic:

   OpenVPN0 Unrecognized option or missing or extra parameter(s) in configuration: (line X): block-outside-dns (2.4.4)
   OpenVPN0 Exiting due to fatal error

   Aggiungere una riga al file di configurazione del client OpenVPN:

   pull-filter ignore \"block-outside-dns\"

3. Errore durante la connessione ai server PrivateTunnel

   Quando si tenta di connettersi viene visualizzato un errore:

   OpenVPN0 Unrecognized option or missing or extra parameter(s) in configuration: (line 3): client-ip (2.4.4)

   Aggiungere una riga al file di configurazione del client OpenVPN:

   ignore-unknown-option client-ip block-ipv6

4. Si verifica un errore quando si utilizza l'opzione askpass /storage/key.txt:

   Error: private key password verification failed

   Questa è una limitazione dell'attuale implementazione di OpenVPN in Keenetic. È possibile utilizzare solo una chiave senza password o con una password fissa: 'password'.

5. Dopo l'aggiornamento del router a KeeneticOS 3.9.1, il tunnel VPN verso i server OpenVPN di alcuni fornitori VPN potrebbe non essere più stabilito. Nel registro di sistema è possibile visualizzare i seguenti messaggi:

   W [Dec 15 16:52:58] OpenVPN6: DEPRECATED OPTION: --cipher set to 'AES-128-CBC' but missing in --data-ciphers (AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305). 
   OpenVPN ignores --cipher for cipher negotiations.
   Error: private key password verification failed

   Il problema è il formato di crittografia obsoleto BF-CBC, che non è supportato a partire dalla versione client OpenVPN 2.5.0 ( KeeneticOS 3.9 utilizza la versione client OpenVPN 2.6.0).

   Nota

   Il cifrario BF-CBC non è più supportato nella configurazione predefinita. La versione OpenVPN 2.5.0 supporta i cifrari AES-256-GCM e AES-128-GCM per impostazione predefinita. È possibile modificare questo comportamento utilizzando l'opzione data-ciphers, ad esempio, specificando nelle impostazioni data-ciphers AES-256-GCM:AES-128-GCM:BF-CBC. Per supportare nodi OpenVPN molto vecchi che non supportano la negoziazione del cifrario (modalità \"--cipher\"), è possibile specificare data-ciphers-fallback BF-CBC.

   Quando si esegue l'aggiornamento a una nuova versione di OpenVPN, l'impostazione \"cipher BF-CBC\" nei file di configurazione precedenti verrà convertita aggiungendo BF-CBC al set data-ciphers. Inoltre, la modalità data-ciphers-fallback viene attivata.

   Per installare correttamente il tunnel, sarà necessario modificare la direttiva:

   cipher AES-128-CBC in data-ciphers AES-128-CBC o data-ciphers AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305

   Se non funziona, modificare la direttiva:

   cipher AES-128-CBC in data-ciphers-fallback AES-128-CBC

   Per la massima compatibilità di negoziazione del cifrario con il server remoto, specificare le seguenti direttive:

   data-ciphers AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305

   data-ciphers-fallback AES-128-CBC

   o

   data-ciphers AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305

   data-ciphers-fallback AES-256-CBC

   Importante

   La crittografia dipende dal server OpenVPN remoto. Prima di modificare la direttiva cipher, controllare il registro di sistema.

6. Se nel registro viene registrato il seguente errore relativo alla dimensione della chiave:

   [E] Dec 16 19:01:38 OpenVPN0: Unrecognized option or missing or extra parameter(s) in configuration: (line 22): keysize (2.6_git)
   [E] Dec 16 19:01:38 OpenVPN0: Exiting due to fatal error
   [E] Dec 16 19:01:38 ndm: Service: "OpenVPN0": unexpectedly stopped.Error: private key password verification failed

   Quindi, nella configurazione del tunnel, è necessario rimuovere la direttiva dell'opzione keysize 256, che è obsoleta per il client aggiornato OpenVPN 2.6.0, e controllare di nuovo la connessione del tunnel.

   È possibile trovare informazioni dettagliate per l'opzione \"keysize\" a questo link.