Почему не работает openvpn клиент?

Question

[IvanOne]

Поставил ubuntu 22.04, установил openvpn клиент, сам конфиг и серты лежат в /home/ivan/vpn/, захожу туда и запускаю

openvpn --config config.ovpn

в ответ

2022-05-24 16:17:36 WARNING: Compression for receiving enabled. Compression has been used in the past to break encryption. Sent packets are not compressed unless "allow-compression yes" is also set.
2022-05-24 16:17:36 DEPRECATED OPTION: --cipher set to 'AES-256-CBC' but missing in --data-ciphers (AES-256-GCM:AES-128-GCM). Future OpenVPN version will ignore --cipher for cipher negotiations. Add 'AES-256-CBC' to --data-ciphers or change --cipher 'AES-256-CBC' to --data-ciphers-fallback 'AES-256-CBC' to silence this warning.
2022-05-24 16:17:36 WARNING: file 'ivan.key' is group or others accessible
2022-05-24 16:17:36 OpenVPN 2.5.5 x86_64-pc-linux-gnu [SSL (OpenSSL)] [LZO] [LZ4] [EPOLL] [PKCS11] [MH/PKTINFO] [AEAD] built on Mar 22 2022
2022-05-24 16:17:36 library versions: OpenSSL 3.0.2 15 Mar 2022, LZO 2.10
2022-05-24 16:17:36 WARNING: No server certificate verification method has been enabled. See openvpn.net/howto.html#mitm for more info.
2022-05-24 16:17:36 OpenSSL: error:0A00018E:SSL routines::ca md too weak
2022-05-24 16:17:36 Cannot load certificate file ivan.crt
2022-05-24 16:17:36 Exiting due to fatal error

конфиг

remote {ip} udp
nobind
dev tun
persist-tun
persist-key
compress lzo
pull
tls-client
ca ca.crt
cert ivan.crt
key ivan.key
tls-auth ta.key 1
cipher AES-256-CBC

Не понимаю куда копать, подскажите. Пробовал менять пути на абсолютные, не помогло.

Comments

[BadCat]

Это конфиг клиента я так понял ? В конфигурации сервера метод прописан у вас ? Явное указание на ошибку тут WARNING: No server certificate verification method has been enabled.

Answer 1

[ky0]

Дело не в путях, ошибка вот тут:

2022-05-24 16:17:36 OpenSSL: error:0A00018E:SSL routines::ca md too weak

Какая-то хрень у вас с корневым сертификатом. Покажите, как генерировали.

Comments

[IvanOne]

Я не генерировал, мне админ, скинул конфиг и серты.

[ky0]

IvanOne, по сообщению с ошибкой хорошо гуглятся варианты решения.

Наиболее конструктивный - обновить настройки шифрования на сервере, но это, я так понимаю, не в вашей власти.

[mureevms]

IvanOne, раз конфиг дал админ, ему и имеет смысл задавать вопрос, кажется очевидно

[IvanOne]

mureevms, он говорит проблема на моей стороне

[mureevms]

IvanOne,
> Cannot load certificate file ivan.crt
Файл сертификата так называется? Он лежит в каталоге с конфигом? Откройте и просмотрите файл, нормален ли он.

[IvanOne]

mureevms, Да пробовал даже менять пути, ошибка уже конкретная, что файл не найден. Файл открывал, ну вроде сертификат как сертификат.

[res2001]

IvanOne, Проверьте права на ключи и сертификаты. Права на закрытые ключи должны быть ТОЛЬКО у владельца, владельцем должен быть пользователь из-под которого вы запускаете openvpn. На сертификаты можно дать всем на чтение. В конфиге лучше указывать полные пути к ключам.

[mureevms]

Он выглядит примерно так?

Certificate:
    Data:
        Version: 3 (0x2)
        Serial Number:
            76:47:03:b4:67:15:33:dd:00:32:28:1f:aa:2e:68:43
        Signature Algorithm: sha256WithRSAEncryption
        Issuer: CN=Easy-RSA CA
        Validity
            Not Before: Jul 10 05:23:07 2019 GMT
            Not After : Jun 24 05:23:07 2022 GMT
        Subject: CN=max
        Subject Public Key Info:
            Public Key Algorithm: rsaEncryption
                RSA Public-Key: (2048 bit)
                Modulus:
                    00:e3:5a:2d:69:6e:ed:d9:f4:f6:e4:12:3e:00:95:
                    0d:df:ab:ea:86:b4:d5:34:79:fa:82:33:d7:d2:73:
                    b3:b8:5d:e1:6f:62:a3:89:0b:3b:6c:bf:85:d2:45:
                    95:1a:82:0c:cb:20:fe:ea:85:16:fb:4f:09:7b:04:
                    7f:0c:5a:41:58:1e:ee:78:8d:33:0f:0d:79:d0:4c:
                    93:f6:0d:e4:d4:54:dd:b2:2c:e8:7f:a4:9b:fd:e9:
                    3a:ab:9c:1e:d2:d2:b7:cd:71:3f:26:45:2f:44:fc:
                    38:0a:34:7b:b5:3a:80:db:ae:9f:6b:4c:96:ed:54:
                    73:ab:f4:ee:b0:e5:2c:64:ea:25:35:29:f2:3b:af:
                    9c:f9:d5:3b:41:00:7a:74:58:fa:21:69:c8:f6:3d:
                    d1:21:72:c2:a6:34:54:f3:ba:92:16:2e:e5:84:05:
                    83:ce:59:97:21:9d:d9:dc:9d:d4:44:76:8c:b9:5f:
                    00:6a:c6:3a:b1:a9:5c:d1:a7:15:6e:23:47:03:a4:
                    06:4d:09:6b:31:dd:c2:17:cb:51:94:16:31:a8:53:
                    bd:98:62:97:1e:7c:e1:55:09:32:6b:85:65:4f:6e:
                    46:4f:e7:84:26:ea:30:33:df:05:ca:c7:80:af:c9:
                    3e:01:d9:9d:a9:d7:55:ce:98:c8:5d:35:2c:ef:56:
                    da:21
                Exponent: 65537 (0x10001)
        X509v3 extensions:
            X509v3 Basic Constraints: 
                CA:FALSE
            X509v3 Subject Key Identifier: 
                62:33:37:BF:4C:C4:E0:38:67:5F:33:29:1E:36:A9:B9:1F:35:D8:F3
            X509v3 Authority Key Identifier: 
                keyid:15:E2:72:5C:12:9B:7D:30:3C:34:02:66:08:23:C2:50:2B:5C:61:3B
                DirName:/CN=Easy-RSA CA
                serial:47:30:FD:BC:31:35:95:C5:C1:18:26:C7:4D:60:E1:41:4C:72:45:B0

            X509v3 Extended Key Usage: 
                TLS Web Client Authentication
            X509v3 Key Usage: 
                Digital Signature
    Signature Algorithm: sha256WithRSAEncryption
         43:6e:a3:0b:22:35:b9:92:8a:1b:4b:b4:7e:e4:0e:49:6c:80:
         1a:59:6e:cc:14:0d:50:d6:a9:25:f3:75:b5:06:be:7a:7e:f6:
         3c:5e:98:39:33:15:d3:da:52:b4:3e:48:2b:22:c1:d0:00:d0:
         c0:75:e1:88:1f:0d:91:92:6d:68:00:30:41:f2:00:ad:13:e8:
         0f:55:26:8d:fd:25:42:4f:02:f5:21:66:be:e9:88:a4:ea:ff:
         3d:2a:7f:57:40:c3:4e:30:b7:f4:af:53:70:21:63:65:e4:01:
         7a:ae:90:c3:8c:8b:48:14:d5:b8:69:d9:93:ea:2c:41:6e:d1:
         43:b4:dd:9b:70:36:9b:b0:61:b1:08:58:ac:64:91:21:25:a4:
         4c:c2:d9:97:ec:ea:c1:c2:f0:c7:39:9c:27:1b:fc:11:80:47:
         71:75:c4:c9:05:94:7e:52:5e:76:bd:d9:29:6c:0c:ea:b6:c9:
         cd:e5:39:f2:77:f1:1a:33:3c:c4:ea:e1:dd:53:9c:31:17:56:
         ba:79:2e:09:30:d1:43:b3:32:16:94:d7:48:25:d7:ac:37:c4:
         23:b3:39:8e:58:d0:d8:3b:21:df:d9:fe:1f:c9:3e:d2:59:37:
         04:5d:bd:ec:f8:4a:9e:3b:95:b0:d3:35:00:ff:28:20:2a:02:
         32:93:50:c0
-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

[IvanOne]

mureevms, Да такой и есть

[mureevms]

IvanOne, а пробовали от рута?
sudo openvpn --config config.ovpn

[IvanOne]

mureevms, да пробовал, тоже самое. Поставил openvpn3, теперь уже конкретно пишет

2022-05-24 18:35:18 Client -- ERROR --: Connection failed: OpenSSLContext: SSL_CTX_use_certificate failed: error:0A00018E:SSL routines::ca md too weak

А может ли быть такое, что свежий клиент openvpn не поддерживает старый метод шифрования?

[mureevms]

IvanOne, почитайте тему. Можно сделать как написано в предпослднем комменте, т.е. tls-cipher "DEFAULT:@SECLEVEL=0". И если сработает, сказать админу, что пора бы почесаться и обновиться

[IvanOne]

mureevms, пробовал, не помогло, видимо только с админом говорить

[mureevms]

IvanOne, какая версия openssl?

[mureevms]

mureevms, Интересуюсь чисто из любопытства, кажется причина в этом

[IvanOne]

mureevms, OpenSSL 3.0.2 15 Mar 2022 (Library: OpenSSL 3.0.2 15 Mar 2022)

[ValdikSS]

Попробуйте запускать OpenVPN с переменными окружения:

OPENSSL_ENABLE_MD5_VERIFY=1 NSS_HASH_ALG_SUPPORT=+MD5

Также есть еще вот такой хак: https://github.com/fabio-d/openvpn-MD5-hack