Почему клиент не подключается к серверу OpenVPN?

Question

[carbanak01]

Ошибка которую выдает openvpn.log

2024-08-07 13:24:33 us=89018 Authenticate/Decrypt packet error: packet HMAC authentication failed
2024-08-07 13:24:33 us=89095 TLS Error: incoming packet authentication failed from [AF_INET]<тут ip>:50418

Конфигурация сервера OpenVPN:

remote-cert-tls client
persist-key
persist-tun
port 1194
proto udp
dev tun
ca /etc/openvpn/certs/ca.crt
cert /etc/openvpn/certs/server.crt
key /etc/openvpn/certs/server.key
dh /etc/openvpn/certs/dh2048.pem
data-ciphers AES-256-GCM:AES-128-GCM:?CHACHA20-POLY1305:AES-256-CBC
cipher AES-256-CBC
auth SHA256
topology subnet
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist /etc/openvpn/ipp.txt
tls-auth /etc/openvpn/certs/ta.key 0
persist-tun
status openvpn-status.log
log         openvpn.log
verb 5
explicit-exit-notify 1

Конфигурация клиента

# Конфигурация OpenVPN клиента
client

# Адрес и порт сервера
remote <ip> 1194

# Протокол
proto udp

# Устройство
dev tun

# Настройки шифрования
data-ciphers AES-256-GCM:AES-128-GCM:?CHACHA20-POLY1305:AES-256-CBC
remote-cert-tls server
auth SHA512
cipher AES-256-CBC

# Проверка сервера
remote-cert-tls server

# Обработка ошибок
nobind
 
# Вербальность журнала
verb 5
 
# Сертификаты
<ca>
<совпадает с содержанием файла на сервере>
</ca>
<cert>
<совпадает с содержанием файла на сервере>
</cert>
<key>
-----BEGIN PRIVATE KEY-----
<совпадает с содержанием файла на сервере>
-----END PRIVATE KEY-----
</key>
<tls-auth>
#
# 2048 bit OpenVPN static key
#
-----BEGIN OpenVPN Static key V1-----
<совпадает с содержанием файла на сервере>
-----END OpenVPN Static key V1-----
</tls-auth>

Подскажите что не так ?

Comments

[Valentin Barbolin]

Возжно глупый вопрос, но

# Сертификаты
<ca>
<совпадает с содержанием файла на сервере> - тут ОК
</ca>
<cert>
<совпадает с содержанием файла на сервере> - должен быть сертификат клиента и он не должен совпадать с сертифыкатом указанным в конфигурации сервера.
</cert>
<key>
-----BEGIN PRIVATE KEY-----
<совпадает с содержанием файла на сервере> - должен быть ключ клиента и он не должен совпадать с ключом указанным  в конфигурации сервера.
-----END PRIVATE KEY-----
</key>

[carbanak01]

Valentin Barbolin, сертификаты стоят клиента

[Дмитрий]

а не должно быть вместо <tls-auth> - <tls-crypt> ?

зы. могу ошибаться конечно, помню, что какие то похожие баги вылезали когда меняли версию сервера с 2.3 на 2.4 , но детали уже из памяти тю тю

[carbanak01]

Дмитрий, пробовал, не работает, да и везде смотрел, там ставят только

[Дмитрий]

carbanak01, смотри, у тебя еще auth не совпадает у клиента и сервера. сделай одинаково. например и там и там auth SHA512

[Valentin Barbolin]

carbanak01,
Дважы написано

remote-cert-tls server
auth SHA512
cipher AES-256-CBC

# Проверка сервера
remote-cert-tls server

Что можно попробовать
1. Проверь время на клиенте и сервере что бы совпадало
2.Сравни еще раз ключ BEGIN OpenVPN Static key V1

[Valentin Barbolin]

carbanak01,

TLS Error: incoming packet authentication failed from [AF_INET]<тут ip>:50418

Уверен что тут светить твой IP? Потому как похоже сообщение будет когда кто-то левый вытается подключиться.

[carbanak01]

Valentin Barbolin, да, IP мой

[carbanak01]

Valentin Barbolin, поправил выше описанное, сравнил сертификаты, все ок. Время на сервере только разнятся на -3 часа. Это сильно критично ?

[Valentin Barbolin]

carbanak01, Если у сервера и клиента разные временные зоны, то это ОК.
Главное что бы время соответствовало временной зоне указанной в настройках системы.

[carbanak01]

Valentin Barbolin, да, с этим проблем нет. Но ошибка та же осталась.

[res2001]

carbanak01, Проверьте ключ tls на сервер и на клиенте, должен быть идентичен. Такая ошибка может быть из-за поврежденного или не правильного ключа.
Добавьте в клиентский конфиг опцию key-direction 1. В опции tls-auth есть 2 параметр, в случае ее inline варианта этот параметр задается с помощью key-direction.

[carbanak01]

res2001, все верно! опция key-direction 1 в клиентском файле помогла!

[carbanak01]

res2001, можете написать ответ на вопрос, чтобы я отметил ваш комментарий решением.

Answer 1

[res2001]

Ответ в комментариях: Почему клиент не подключается к серверу OpenVPN?