Как добавить клиента OpenVPN на freebsd?

Question

[Smoke User]

Приветствую

Один человек админил у нас сервер OpenVPN на FreeBSD
его сейчас нет (физически).
по гуглил насколько смог и начал создавать конфиги для одного филиала
вот мои действия:

#cd /usr/local/share/easy-rsa/ 
#sh
#. ./vars
#./clean-all
#./build-ca (тут все по умолчанию ентер делаю)
#./build-key filial22
#./build-dh
#openvpn --genkey --secret ta.key
#exit
#ee /usr/local/etc/openvpn/ccd/filial22 (прописываю ifconfig-push 10.10.100.238 10.10.100.237)
#/usr/local/etc/rc.d/openvpn restart

качаю необходимые файлы и устанвливаю клиенту опенвпн на винде и запускаю.
выходит вот такая ошибка:

TLS Error: TLS key negotiation failed to occur within 60 seconds

я чувствую где то неправильно делаю. подскажите пожалуйста.

Comments

[Дмитрий Шицков]

Сервер уже работал? Зачем вы ему перегенирурете ca и ta? Ваши вновь сгенерированные ca и ta прописаны в конфиге сервера?

[Smoke User]

Дмитрий Шицков,
сервер работает, даже прекрасно.
у меня там 20 с чем то действующих подключений.
по нужде требуется еще пару подключений создать.
а тот человек который занимался физически отсутствует (недавно умер).
я был помощником.
мне очень надо подключить допольнительных точек. подскажите пожалуйста. что должен делать?

[Дмитрий Шицков]

Smoke Cartesius, даже не представляете как вы были близко от того, чтобы угробить всю конфигурацию. Сделайте бекап прежде чем продолжать.

Откройте конфиг сервера и найдите где сейчас хранятся ключи, отбекапте их. Посмотрите. может там же и утилиты по генерации новых находятся. Если нет, то будет другой путь. CA и TA ключи на действующем сервере не заменяйте без необходимости

[Smoke User]

Дмитрий Шицков,
историю команд листаю и вот такие команды вижу, когда он создавал ключи для филиалов:
#cd /usr/local/share/easy-rsa/
#sh
#ee /usr/local/etc/openvpn/ccd/filial22
#/usr/local/etc/rc.d/openvpn restart

а вот что там писал по sh мне не видно.

Answer 1

[idShura]

Думаю нужно первым делом почитать faq по этой ошибке TLS Error: TLS key negotiation failed to occur wit...

Comments

[Smoke User]

на этом компе есть недавно созданные сертификаты. они без проблем моментально подключаются.
а вот толькочто созданный по шагово, ошибку выводить.
значит я чтото пропускаю при генерации сертификатов

[idShura]

Smoke Cartesius, Кроме сертификатов на клиенте есть еще файл конфигурации. Посмотри какой сервер и порт там используется, а затем проверь доступность этого сервера по указанному порту с клиентского компьютера.
Например телнетом.

[idShura]

Smoke Cartesius, Если телнетом получилось зацепиться, то выкладывай тогда конфиг сервера и клиента. (ip адреса в конфиге скрой только)

[Smoke User]

idShura,

ЛОГ опенвпн клиента на виндовс10

Tue May 07 17:37:35 2019 Restart pause, 5 second(s)
Tue May 07 17:37:40 2019 Outgoing Control Channel Authentication: Using 128 bit message hash 'MD5' for HMAC authentication
Tue May 07 17:37:40 2019 Incoming Control Channel Authentication: Using 128 bit message hash 'MD5' for HMAC authentication
Tue May 07 17:37:40 2019 TCP/UDP: Preserving recently used remote address: [AF_INET]БЕЛЫЙИПАДРЕС:1194
Tue May 07 17:37:40 2019 Socket Buffers: R=[65536->65536] S=[65536->65536]
Tue May 07 17:37:40 2019 UDP link local (bound): [AF_INET][undef]:1194
Tue May 07 17:37:40 2019 UDP link remote: [AF_INET]БЕЛЫЙИПАДРЕС:1194
Tue May 07 17:37:40 2019 MANAGEMENT: >STATE:1557229060,WAIT,,,,,,
Tue May 07 17:37:40 2019 MANAGEMENT: >STATE:1557229060,AUTH,,,,,,
Tue May 07 17:37:40 2019 TLS: Initial packet from [AF_INET]БЕЛЫЙИПАДРЕС:1194, sid=d969c8e9 cf71aa95
Tue May 07 17:37:40 2019 VERIFY OK: depth=1, C=KG, ST=CHUI, L=City, O=server, OU=server, CN=server, name=server, emailAddress=[e-mail]
Tue May 07 17:37:40 2019 VERIFY KU OK
Tue May 07 17:37:40 2019 Validating certificate extended key usage
Tue May 07 17:37:40 2019 ++ Certificate has EKU (str) TLS Web Server Authentication, expects TLS Web Server Authentication
Tue May 07 17:37:40 2019 VERIFY EKU OK
Tue May 07 17:37:40 2019 VERIFY OK: depth=0, C=KG, ST=CHUI, L=City, O=server, OU=server, CN=server, name=server, emailAddress=[e-mail]
Tue May 07 17:38:40 2019 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
Tue May 07 17:38:40 2019 TLS Error: TLS handshake failed
Tue May 07 17:38:40 2019 SIGUSR1[soft,tls-error] received, process restarting
Tue May 07 17:38:40 2019 MANAGEMENT: >STATE:1557229120,RECONNECTING,tls-error,,,,,
Tue May 07 17:38:40 2019 Restart pause, 5 second(s)
Tue May 07 17:38:45 2019 TCP/UDP: Preserving recently used remote address: [AF_INET]БЕЛЫЙИПАДРЕС:1194
Tue May 07 17:38:45 2019 Socket Buffers: R=[65536->65536] S=[65536->65536]
Tue May 07 17:38:45 2019 UDP link local (bound): [AF_INET][undef]:1194
Tue May 07 17:38:45 2019 UDP link remote: [AF_INET]БЕЛЫЙИПАДРЕС:1194
Tue May 07 17:38:45 2019 MANAGEMENT: >STATE:1557229125,WAIT,,,,,,
Tue May 07 17:38:45 2019 MANAGEMENT: >STATE:1557229125,AUTH,,,,,,
Tue May 07 17:38:45 2019 TLS: Initial packet from [AF_INET]БЕЛЫЙИПАДРЕС:1194, sid=7213c96d 1953b8de
Tue May 07 17:38:45 2019 VERIFY OK: depth=1, C=KG, ST=CHUI, L=City, O=server, OU=server, CN=server, name=server, emailAddress=[e-mail]
Tue May 07 17:38:45 2019 VERIFY KU OK
Tue May 07 17:38:45 2019 Validating certificate extended key usage
Tue May 07 17:38:45 2019 ++ Certificate has EKU (str) TLS Web Server Authentication, expects TLS Web Server Authentication
Tue May 07 17:38:45 2019 VERIFY EKU OK
Tue May 07 17:38:45 2019 VERIFY OK: depth=0, C=KG, ST=CHUI, L=City, O=server, OU=server, CN=server, name=server, emailAddress=[e-mail]
Tue May 07 17:39:45 2019 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
Tue May 07 17:39:45 2019 TLS Error: TLS handshake failed
Tue May 07 17:39:45 2019 SIGUSR1[soft,tls-error] received, process restarting
Tue May 07 17:39:45 2019 MANAGEMENT: >STATE:1557229185,RECONNECTING,tls-error,,,,,
Tue May 07 17:39:45 2019 Restart pause, 5 second(s)

месяц назад созданных конфигах спокойно коннектится.

[idShura]

Smoke Cartesius, конфиг клиента скинь еще

[Smoke User]

idShura,
Этот?

proto udp
remote хх.хх.хх.хх - тут белий ип
port 1194
client
resolv-retry infinite
ca ca.crt
cert filial.crt
key filial.key
tun-mtu 48000
fragment 0
mssfix 0
tls-client
tls-auth ta.key 1
auth MD5
cipher BF-CBC
remote-cert-tls server
comp-lzo
persist-key
persist-tun
verb 3

[idShura]

Smoke Cartesius, Пропиши полностью пути к сертификатам, например так:

ca "c:\\Program Files\\OpenVPN\\easy-rsa\\keys\\ca.crt"
cert "c:\\Program Files\\OpenVPN\\easy-rsa\\keys\\filial.crt"
key "c:\\Program Files\\OpenVPN\\easy-rsa\\keys\\filial.key"
tls-auth "c:\\Program Files\\OpenVPN\\easy-rsa\\keys\\ta.key" 1

Попробуй подключиться к удаленному серверу telnet хх.хх.хх.хх 1194 или Port check и напиши о результатах.

[Smoke User]

idShura, Не удалось открыть подключение к этому узлу, на порт 1194: Сбой подключения

я неправильно создаю ключи. как мне правильно создать?

[idShura]

Не удалось открыть подключение к этому узлу, на порт 1194: Сбой подключения

Это значит что у тебя нет доступа с клиентского компьютера к серверу openvpn. Причин может быть много, начни с firewall'а на клиентском компьютере, на шлюзе и т.д. В общем сначала разберись с доступом, а потом уже проверяй сертификаты.

я неправильно создаю ключи. как мне правильно создать?

Создать сертификат клиента можно так:

#cd /usr/local/share/easy-rsa/ 
#sh
#. ./vars
#./build-key filial22

Затем из директории /usr/local/share/easy-rsa/ нужно скопировать сертификаты для клиента:

ca.crt
filial22.crt
filial22.key
ta.key

В конфигурации клиента нужно прописать полные пути до этих сертификатов. Также обрати внимание что на сервере и клиенте должны использоваться одинаковые сертификаты CA и TA (см. комментарии Дмитрий Шицков). Посмотри конфигурацию сервера openvpn, там будет прописаны пути к сертификатам CA и TA.