Інструкція користувача

• Для початку давайте розглянемо найпростішу конфігурацію з використанням спільного секретного ключа.

  1. Мінімальна конфігурація OpenVPN сервера для Keenetic #1:

     dev tun
     ifconfig 10.1.0.1 10.1.0.2
     cipher AES-128-CBC
     <secret>
       <--insert the secret key here
     </secret>
     verb 3
     route 192.168.2.0 255.255.255.0

  2. Мінімальна конфігурація OpenVPN клієнта для Keenetic #2:

     dev tun
     remote KEENETIC-1.mykeenetic.net <-- server's domain name or IP address
     ifconfig 10.1.0.2 10.1.0.1
     cipher AES-128-CBC
     <secret>
       <--insert the secret key here
     </secret>
     verb 3
     route 192.168.1.0 255.255.255.0
     or
     redirect-gateway def1
     or
     route 0.0.0.0 0.0.0.0 <-- if it's neccessary to route all the traffic in the tunnel

  3. Створіть спільний секретний ключ. Для цього завантажте та встановіть OpenVPN звідси: openvpn.net/завантаження.html

     У цьому прикладі ми будемо використовувати версію 2.4.6-I602  для Windows.

     Після установки програмного забезпечення перезавантажте комп'ютер.

     За замовчуванням програма буде встановлена в C:\Program folder.

     Запустіть командний рядок Windows від імені адміністратора. Перейти до C:\Program Files\OpenVPN\bin і виконайте команду:

     openvpn.exe --genkey --secret static.key

     

  4. Відкрийте згенерований static.key файл із загальним секретним ключем у будь-якому текстовому редакторі (наприклад, Блокноті), скопіюйте його вміст у буфер обміну (Ctrl-A, Ctrl-C) і вставте (Ctrl-V) у відповідні місця файлів конфігурації клієнта та сервера.

     Приклади файлів конфігурації для Keenetic#1 static-server.ovpn static-server.ovpn і для Keenetic#2 static-client.ovpn static-client.ovpn із загальним секретним ключем додаються в кінці цієї статті. У цих файлах є закоментовані налаштування OpenVPN (рядки починаються ';'), які можуть бути використані пізніше, якщо це необхідно. Ви можете використовувати ці файли конфігурації для перевірки, замінивши доменне ім'я KEENETIC-1.mykeenetic.net в static-client.ovpn доменним іменем вашого Keenetic #1 або його загальнодоступною IP-адресою, та той спільний секретний ключ, що ви згенерували, в обох файлах.

  5. Перейти до сторінки 'Інші з'єднання' у вебінтерфейсі Keenetic #1, у розділ VPN - підключення і натисніть 'Додати підключення' У вікні 'Параметри VPN-підключення', виберіть'OpenVPN'в полі 'Тип (протокол)'.

     Потім введіть назву з'єднання в полі 'Ім'я підключення', і вставте вміст файлу конфігурації static-server.ovpn в поле 'Конфігурація OpenVPN'. Збережіть налаштування.

     

     Важливо

     Починаючи з KeeneticOS 3.4.1 сервер працює лише тоді, коли в полі 'Підключатися через' вибрано 'Будь-яке Інтернет-з'єднання'.

  6. Таким же чином створіть OpenVPN підключення у вебінтерфейсі Keenetic #2, але з конфігурацією static-client.ovpn:

     

  7. Крім того, на Keenetic #1, (серверна) сторона, потрібно буде виконати наступні команди через інтерфейс командного рядка(CLI) маршрутизатора:

     interface OpenVPN0 no ip global
     interface OpenVPN0 security-level private

     Щоб дозволити трафік між інтерфейсами Home і OpenVPN0, які мають приватний рівень безпеки, виконують команду:

     no isolate-private

     Якщо ви плануєте використовувати цей сервер і для підключення клієнта до Інтернету, виконайте команду:

     ip nat 10.1.0.2 255.255.255.255

     збережіть налаштування командою:

     system configuration save

     

  8. Також необхідно відкрити порт для OpenVPN з'єднання. Порт за замовчуванням UDP/1194. Для цього на сторінці Міжмережевий екран створіть правило для інтерфейсу 'ISP', або для інтерфейсу, який використовується для доступу до Інтернету (на додаток до інтерфейсу 'ISP', це можуть бути інтерфейси PPPoE, L2TP або PPTP).

     

     У вікні 'Правило міжмережевого екрану', виберіть 'Дозволити' в полі 'Дія', 'UDP' в полі 'Протокол' і Дорівнює 1194' в полі 'Порт призначення'.

     Після створення з'єднання встановіть перемикач на Увімкнено.

     

     На цьому конфігурація тунелю OpenVPN завершена. На сторінці 'Інші з'єднання' відображатимуться стан з'єднання та статистика.

     Спробуйте для перевірки зробити пінг на обидва кінці тунелю:

     ping 10.1.0.1
     ping 10.1.0.2

     а потім віддалені підмережі:

     ping 192.168.1.1
     ping 192.168.2.1

Типові помилки та рішення:

1. auth-user-pass without inline credentials data is not supported

   Файл конфігурації містить рядок для введення логіну/пароля, який Keenetic не підтримує. Помилка у файлі журналу Keenetic:

   OpenVPN0 auth-user-pass without inline credentials data is not supported
   OpenVPN0 Exiting due to fatal error

   Видаліть або закоментуйте всі рядки такого роду:

   auth-user-pass

2. Block-outside-dns помилка

   block-outside-dns опція налаштована на Сервері OpenVPN, вона правильно обробляється тільки в Windows. Помилка у файлі журналу Keenetic:

   OpenVPN0 Unrecognized option or missing or extra parameter(s) in configuration: (line X): block-outside-dns (2.4.4)
   OpenVPN0 Exiting due to fatal error

   Додайте рядок до файлу конфігурації OpenVPN клієнта:

   pull-filter ignore "block-outside-dns"

3. Помилка при підключенні до серверів PrivateTunnel

   Виводиться помилка при спробі підключення:

   OpenVPN0 Unrecognized option or missing or extra parameter(s) in configuration: (line 3): client-ip (2.4.4)

   Додайте рядок до файлу конфігурації клієнта OpenVPN:

   ignore-unknown-option client-ip block-ipv6

4. Виникає помилка при використанні опції /storage/key.txt:

   Error: private key password verification failed

   Це обмеження поточної реалізації OpenVPN в Keenetic. Ви можете використовувати тільки ключ без пароля або з фіксованим паролем: 'password'.

5. Після оновлення маршрутизатора до KeeneticOS 3.9.1, тунель VPN до серверів OpenVPN для певних постачальників VPN більше не може бути встановлений. У системному журналі можна побачити такі повідомлення:

   W [Dec 15 16:52:58] OpenVPN6: DEPRECATED OPTION: --cipher set to 'AES-128-CBC' but missing in --data-ciphers (AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305). 
   OpenVPN ignores --cipher for cipher negotiations.
   Error: private key password verification failed

   Проблема в застарілому форматі шифрування BF-CBC, який не підтримується, починаючи з клієнтської версії ОpenVPN2.5.0 (KeeneticOS 3.9 використовує версію клієнта OpenVPN2.6.0).

   Примітка

   BF-CBC шифр більше не підтримується в конфігурації за замовчуванням. Версія OpenVPN2.5.0 підтримує шифри AES-256-GCMіAES-128-GCM за замовчуванням. Ви можете змінити цю поведінку за допомогою опції data-ciphers, наприклад, вказавши в налаштуваннях data-ciphers AES-256-GCM:AES-128-GCM:BF-CBC. Для підтримки дуже старих вузлів OpenVPN, які не підтримують узгодження шифрів (режим "--cipher«), можна вказати data-ciphers-fallback BF-CBC.

   При оновленні до нової версії OpenVPN налаштування 'cipher BF-CBC' в старих файлах конфігурації буде перетворене з додаванням BF-CBC до data-ciphers сету. Крім того, буде увімкнений режим data-ciphers-fallback.

   Для успішної установки тунелю потрібно змінити директиву:

   cipher AES-128-CBC на data-ciphers AES-128-CBC або на data-ciphers AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305

   Якщо не працює, то змініть директиву:

   cipher AES-128-CBC на data-ciphers-fallback AES-128-CBC

   Для максимальної сумісності узгодження шифрів з віддаленим сервером вкажіть наступні директиви:

   data-ciphers AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305

   data-ciphers-fallback AES-128-CBC

   або

   data-ciphers AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305

   data-ciphers-fallback AES-256-CBC

   Важливо

   Шифрування залежить від віддаленого сервера OpenVPN. Перед зміною директиви cipher, будь ласка, подивіться системний журнал.

6. Якщо в журналі записана наступна помилка розміру ключа:

   [E] Dec 16 19:01:38 OpenVPN0: Unrecognized option or missing or extra parameter(s) in configuration: (line 22): keysize (2.6_git)
   [E] Dec 16 19:01:38 OpenVPN0: Exiting due to fatal error
   [E] Dec 16 19:01:38 ndm: Service: "OpenVPN0": unexpectedly stopped.Error: private key password verification failed

   Тоді в конфігурації тунелю потрібно прибрати директиву опції keysize 256, яка застаріла для оновленого клієнта Опен-VPN 2.6.0, і ще раз перевірити підключення тунелю.

   Ви можете знайти детальну інформацію про опцію 'keysize' за цим посиланням.