OVPN TLS Error: TLS key negotiation failed. — уже после проверки сертификата сервера. Why?!?!?

Question

[Ziptar]

OVPN сервер - микротик, OVPN клиент - венда

конфиг сервера:

[ziptar@MikroTik] > interface ovpn-server server print 
                     enabled: yes
                        port: 1194
                        mode: ip
                     netmask: 24
                 mac-address: FE:9F:0B:F7:CB:D9
                     max-mtu: 1500
           keepalive-timeout: 60
             default-profile: PPP_Server
                 certificate: cert4
  require-client-certificate: yes
                        auth: sha1
                      cipher: blowfish128

конфиг клиента:

client
dev tun
proto tcp
remote ovpn.ml.ziptar.net 1194
resolv-retry infinite
nobind
persist-key
persist-tun
ca ca.crt
cert client.crt
key client.key
remote-cert-tls server
verb 4
--connect-retry 60

Sun Oct 11 23:39:31 2015 us=376834 Current Parameter Settings:
список текущих параметров вырезан - больше 10000 букаф тостер ниасилил
Sun Oct 11 23:39:32 2015 us=17340 OpenVPN 2.3.8 x86_64-w64-mingw32 [SSL (OpenSSL)] [LZO] [PKCS11] [IPv6] built on Aug  4 2015
Sun Oct 11 23:39:32 2015 us=19342 library versions: OpenSSL 1.0.1p 9 Jul 2015, LZO 2.08
Enter Private Key Password:
Sun Oct 11 23:39:38 2015 us=627780 WARNING: this configuration may cache passwords in memory -- use the auth-nocache option to prevent this
Sun Oct 11 23:39:38 2015 us=633773 Control Channel MTU parms [ L:1543 D:140 EF:40 EB:0 ET:0 EL:3 ]
Sun Oct 11 23:39:38 2015 us=633773 Socket Buffers: R=[65536->65536] S=[65536->65536]
Sun Oct 11 23:39:38 2015 us=637778 Data Channel MTU parms [ L:1543 D:1450 EF:43 EB:12 ET:0 EL:3 ]
Sun Oct 11 23:39:38 2015 us=637778 Local Options String: 'V4,dev-type tun,link-mtu 1543,tun-mtu 1500,proto TCPv4_CLIENT,cipher BF-CBC,auth SHA1,keysize 128,key-method 2,tls-client'
Sun Oct 11 23:39:38 2015 us=638782 Expected Remote Options String: 'V4,dev-type tun,link-mtu 1543,tun-mtu 1500,proto TCPv4_SERVER,cipher BF-CBC,auth SHA1,keysize 128,key-method 2,tls-server'
Sun Oct 11 23:39:38 2015 us=655792 Local Options hash (VER=V4): 'db02a8f8'
Sun Oct 11 23:39:38 2015 us=656788 Expected Remote Options hash (VER=V4): '7e068940'
Sun Oct 11 23:39:38 2015 us=656788 Attempting to establish TCP connection with [AF_INET]95.31.27.23:1194 [nonblock]
Sun Oct 11 23:39:39 2015 us=663222 TCP connection established with [AF_INET]95.31.27.23:1194
Sun Oct 11 23:39:39 2015 us=663222 TCPv4_CLIENT link local: [undef]
Sun Oct 11 23:39:39 2015 us=663222 TCPv4_CLIENT link remote: [AF_INET]95.31.27.23:1194
Sun Oct 11 23:39:39 2015 us=666219 TLS: Initial packet from [AF_INET]95.31.27.23:1194, sid=0fc9eb4e dea8cee0
Sun Oct 11 23:39:39 2015 us=751116 VERIFY OK: depth=1, C=RU, O=Ziptar.Net, OU=Ziptar.Net Main Lair CA, CN=Ziptar.Net Main Lair Certification Authority
Sun Oct 11 23:39:39 2015 us=752117 Validating certificate key usage
Sun Oct 11 23:39:39 2015 us=752117 ++ Certificate has key usage  00a0, expects 00a0
Sun Oct 11 23:39:39 2015 us=755119 VERIFY KU OK
Sun Oct 11 23:39:39 2015 us=757282 Validating certificate extended key usage
Sun Oct 11 23:39:39 2015 us=759447 ++ Certificate has EKU (str) TLS Web Server Authentication, expects TLS Web Server Authentication
Sun Oct 11 23:39:39 2015 us=762598 VERIFY EKU OK
Sun Oct 11 23:39:39 2015 us=764603 VERIFY OK: depth=0, C=RU, O=Ziptar.Net, OU=Ziptar.Net Main Lair, CN=Ziptar.Net Main Lair OVPN Server Certificate
Sun Oct 11 23:40:40 2015 us=242140 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
Sun Oct 11 23:40:40 2015 us=242140 TLS Error: TLS handshake failed
Sun Oct 11 23:40:40 2015 us=243132 Fatal TLS error (check_tls_errors_co), restarting
Sun Oct 11 23:40:40 2015 us=247138 TCP/UDP: Closing socket
Sun Oct 11 23:40:40 2015 us=250137 SIGUSR1[soft,tls-error] received, process restarting
Sun Oct 11 23:40:40 2015 us=252138 Restart pause, 60 second(s)

на микротике-сервере коннект client-ip(внешний):1194->server-ip:1194 в состоянии established
на роутере, за которым находится венда - аналогично
netstat на венде кажет:
TCP 172.16.12.13:51360 95-31-27-23:1194 ESTABLISHED
единственно не понимаю почему через дефисы

в логе сервера идёт обмен пакетами, и оканчивается строчкой:
:using encoding BF-128-CBC/SHA1

Key usage сертификата сервера
KU 0xa0: Digital Signature, Key Encipherment
EKU TLS Web Server Authentication
то есть ровнёхонько то, что желает сам ovpn

сертификата клиента
KU Digital Signature, Key Encipherment, Data Encipherment
EKU TLS Web Client Authentication

так что же он от меня желает? :(

Answer 1

[Ziptar]

Ясно-понятно.

1) CN сертификата сервера должно равняться его fqdn, или же ip
но это ладно.
2) Не знаю как в "родном" ovpn, но в микротиковской реализации овпн сервера есть 2 варианта подключения:
a. логин-пароль
b. сертификат И логин-пароль
вариант с только сертификатом отсутствует.

UPD: crl host задаётся жёстко ip-адресом, только винбокс об этом ни слова не говорит, и если указать fqdn - спокойно создаёт самоподписанный CA без crl. ><
deleted(ибо я лапоть и всё враки): И ладно, я был бы только рад, но в ROS клиентский сертификат невозможно привязать к пользователю + ROS'овский PKI не поддерживает автоматическое создание crl, не говоря уже об отсутствии места хранения этого crl для массового пользователя.
Что делает поддержку клиентских сертификатов, так скажем, менее полезной, чем хотелось бы, а смысл от клиентских сертификатов для каждого юзера вообще сводит к нулю.

Этот конфиг, во всяком случае, для домашнего использования, посмотрим как это будет в рабочей обстановке с WinSrv PKI и радиус-аутентификацией; но... позже.

Comments

[Станислав Макаров]

> CN сертификата сервера должно равняться его fqdn, или же ip
ну да, тут как и с сертификатами для веб-серверов, иначе смысл в них
> вариант с только сертификатом отсутствует.
вот это жестоко

[Ziptar]

Станислав Макаров:
вчера добился таки нормальной работы PKI и OVPN на микротике
Про CN - в принципе, так всегда и везде; но можно указать не в CN, а в поле альтернативного имени; кроме того можно убрать данную проверку в опциях клиента, но не рекомендуется - подрывает безопасность;
а про вариант только сертификат - тоже пофиг, можно добавить параметры:
auth-user-pass pwd.txt
auth-nocache
и общие логин/пароль для всех пользователей, хранящиеся в pwd.txt с двумя строчками:
логин
пароль

пользователю нужно будет только вводить пароль от закрытого ключа при подключении к серверу

учитывая, что crl действительно таки работает - отзыв сертификатов так же работает. НО!
мне не удалось сделать импорт CA сертификата на микротик так, что бы сам микротик воспринимал его как CA, который он, микротик, может использовать и подписывать им сертификаты;
у меня схема с нормальным отзывом работает только с CA сертификатом, который создан на самом микротике; в качестве crl хоста указал 127.0.0.1

[Ziptar]

при чём не просто создан на самом микротике, но и никогда с него не удалялся

[Ziptar]

в принципе, мог бы статейку на хабр накатать о подробной настройке ovpn сервера с сертификатами на ROS (авось кто нибудь инвайт бы подарил xDDD) но не знаю - стоит ли

[nimbo]

Ziptar: стоит. чем больше инфа про тики на хабре - тем лучше.

[Ziptar]

nimbo:
Статью опубликовали все таки, хоть она и довольно посредственна; ovpn на ROS и правда не лучший вариант.

[nimbo]

Константин Антонов: а ссылкой поделитесь пожалуйста

[Ziptar]

nimbo:
habrahabr.ru/post/269679

[nimbo]

Константин Антонов: спасибо большое

Answer 2

[Станислав Макаров]

Советую проверить, правильно ли сгенерены клиентские сертификаты, одинаковые ли используются ca.cert на обоих концах. Попробовать перегенерить все, если это не слишком сложно.

Comments

[Ziptar]

да, дело было в сертификатах, но не только...

Answer 3

[Hardyn]

поставь кодировку chiper - Sha 256

Comments

[Ziptar]

Тогда дело было в невозможности использовать _только_ сертификат. Вариант использования серт+лгин/пасс помог.

[Hardyn]

и это тоже, а у меня не выходит добиться чтоб паки шли между локами при условии что 1 микротик за нат и соединение по свистку