Dotaz: chyba při spuštění openVPN

[Cekare]

Ahoj,
můžete mi prosím poradit, kde hledat chybu? Snažím se rozběhnout openVPN klienta, který má následující konfiguraci:
remote 192.168.1.3
tls-client
dev tap
pull

mute 10
ca /etc/openvpn/ca.crt
cert /etc/openvpn/client1.crt
key /etc/openvpn/client1.key

verb 3



Když openVPN spustím skončí mi s následujícím výpisem:
root@dm7020:~# openvpn --config /etc/openvpn/client.conf
Wed Jun 28 22:06:18 2006 OpenVPN 2.0.5 powerpc-unknown-linux [SSL] [EPOLL] built on Nov 26 2005
Wed Jun 28 22:06:18 2006 IMPORTANT: OpenVPN's default port number is now 1194, based on an official port number assignment by IANA. OpenVPN 2.0-beta16 and earlier used 5000 as the default port.
Wed Jun 28 22:06:18 2006 WARNING: No server certificate verification method has been enabled. See http://openvpn.net/howto.html#mitm for more info.
Wed Jun 28 22:06:18 2006 Cannot load CA certificate file /etc/openvpn/ca.crt (SSL_CTX_load_verify_locations):error:02001002:system library:fopen:No such file or directory:error:2006D080:BIO routines:BIO_new_file:no such file:error:0B084002:x509 certificate routines:X509_load_cert_crl_file:system lib
Wed Jun 28 22:06:18 2006 Exiting


Klíče a certifikáty mám nakopírovaný v adresáři.
Spouštím to na Dreamboxu 7020 (satelitní přijímač běžící na Linuxu), jádro by mělo být 2.6.9.

Můžete mi poradit, kde hledat chybu.
Díky.

Odpovědi

[secido]

root@dm7020:~# openvpn --config /etc/openvpn/client.conf
Wed Jun 28 22:06:18 2006 OpenVPN 2.0.5 powerpc-unknown-linux [SSL] [EPOLL] built on Nov 26 2005
Wed Jun 28 22:06:18 2006 IMPORTANT: OpenVPN's default port number is now 1194, based on an official port number assignment by IANA. OpenVPN 2.0-beta16 and earlier used 5000 as the default port.
Wed Jun 28 22:06:18 2006 WARNING: No server certificate verification method has been enabled. See http://openvpn.net/howto.html#mitm for more info.
Wed Jun 28 22:06:18 2006 Cannot load CA certificate file /etc/openvpn/ca.crt (SSL_CTX_load_verify_locations):error:02001002:system library:fopen:No such file or directory:error:2006D080:BIO routines:BIO_new_file:no such file:error:0B084002:x509 certificate routines:X509_load_cert_crl_file:system lib
Wed Jun 28 22:06:18 2006 Exiting

[Cekare]

Ano, to tak nějak tuším, že chyba je vypsána v tomhle řádku, ale vůbec netuším, kde hledat její řešení
Certifikát tam mám.

[ondrej.suchy]

Dle mého názoru tam soubor buď není, má špatný formát (byl špatně vygenerován skriptem build_ca) nebo má špatná oprávnění.

Soubor ca.crt by měl být čitelný pro všechny (-rw-r--r-- 1 root wheel 1241 Sep 13 2005 ca.crt).

Zdraví, Ondřej Suchý, LOGIOS

[Cekare]

No soubor tam je a vím, že na serveru s ním není problém.
Na ta práva pro všechny se odpoledne podívám, tam si nejsem jistý, ale nakopíroval jsem ho tam, jak jsem ho dostal.

[ondrej.suchy]

(Přesněji řečeno - soubor musí být čitelný pro uživatele, který OpenVPN spouští.)

[Cekare]

Ano, rozumím - v Dreamboxu je vše spouštěno pod rootem.

[Vlastimil Ott]

Pokud je mi známo, openvpn se musí spouštět z adresáře, kde jsou konfigurační soubory, např. /etc/openvpn. Distribuční skripty to ne vždy dělají. Bylo taky jednodušší zrušit adresář openvpn/keys a soubory přesunout přímo do /etc/openvpn.

[Marek]

resil jsem neco podobnyho

[Cekare]

Dělal jsem to pomocí skriptů dodaných s openVPN

[milda]

pastnu ti tady funkcni config. OpenVPN 2.0.7 (tusim) bere config z adresre /etc/openvpn/*.conf. Vytvor uzivatele a skupinu openvpn. Do /etc/openvpn/secr uloz certifikaty s pravem 0400.

remote xx.xx.xx.xx
tls-client
dev tap
pull

mute 10
ca /etc/openvpn/secr/cacert.pem
cert /etc/openvpn/secr/cert.pem
key /etc/openvpn/secr/key.pem
dh /etc/openvpn/secr/dh1024.pem

log-append /var/log/openvpn

comp-lzo
verb 3

dalsi dobrej zdroj info je clanek o vpn na rootu