Dotaz: Nastavenie OpenVPN v NetworkManageri proti Mikrotiku

[iko]

zdravim

nedari sa mi nastavit NetworkManager, aby sa vedel pripojit na OpenVPN v Mikrotiku. Normalne to je bez problemov, na mobile Ovpn klient tiez bez problemov, len NM sa nevie pripojit.

NM pise:

OpenVPN 2.5.7 x86_64-redhat-linux-gnu [SSL (OpenSSL)] [LZO] [LZ4] [EPOLL] [PKCS11] [MH/PKTINFO] [AEAD] built on May 31 2022
library versions: OpenSSL 3.0.5 5 Jul 2022, LZO 2.10
WARNING: No server certificate verification method has been enabled.  See http://openvpn.net/howto.html#mitm for more info.
NOTE: the current --script-security setting may allow this configuration to call user-defined scripts
TCP/UDP: Preserving recently used remote address: [AF_INET]XX.XX.XX.XX:1194
Attempting to establish TCP connection with [AF_INET]XX.XX.XX.XX:1194 [nonblock]
TCP connection established with [AF_INET]XX.XX.XX.XX:1194
TCP_CLIENT link local: (not bound)
TCP_CLIENT link remote: [AF_INET]XX.XX.XX.XX:1194
NOTE: UID/GID downgrade will be delayed because of --client, --pull, or --up-delay
VERIFY ERROR: depth=1, error=self-signed certificate in certificate chain: CN=CA, serial=8573267156963632
OpenSSL: error:0A000086:SSL routines::certificate verify failed
TLS_ERROR: BIO read tls_read_plaintext error
TLS Error: TLS object -> incoming plaintext read error
TLS Error: TLS handshake failed
Fatal TLS error (check_tls_errors_co), restarting
SIGUSR1[soft,tls-error] received, process restarting

Tento konfig mi ide aj z windows Ovpn klienta, aj z mobilu aj z linuxu (okrem NetworkManagera):

client
dev tun
proto tcp-client
remote xx.xx.xx.xx
port 1194
nobind
persist-key
persist-tun
tls-client
remote-cert-tls server
verb 4
mute 10
cipher AES-256-CBC
auth SHA1
auth-user-pass secret
auth-nocache

<ca>
..
</ca>
<cert>
..
</cert>
<key>
.. 
</key>
</pre>

Poradte prosim nejaku zazracnu optionu, ktora to vyriesi :)

---

---

Odpovědi

[Max]

Máš to tam napsaný:

...
VERIFY ERROR: depth=1, error=self-signed certificate in certificate chain: CN=CA, serial=8573267156963632
OpenSSL: error:0A000086:SSL routines::certificate verify failed
TLS_ERROR: BIO read tls_read_plaintext error
,,,

Takže nemáš správně nadifinovaný certifikáty, nebo nastavený. Nějaké gui nástroje podporují import nastavení, ale dělají import jen nastavení a cestu k certifikátům bývá třeba definovat ručně. Jen tip.
Zdar Max

[Jendа]

Certifikáty má zapečené v konfiguraci a píše že jinde mu to funguje. Ještě může mít na tom počítači blbě hodiny, ale to by asi napsalo jinou chybu. Je to divné a podezříval bych jestli je tvrzení že tento konkrétní konfigurák jinde funguje správné.

[iko]

Tak, konecne sa podarilo. Bola to moja chyba.

Zabudol som a neuvedomil si, ze tam je user/password autentifikacia + heslo privatneho kluca. Daval som len heslo privatneho kluca a user/password som ignoroval. V NM som mal typ

Certificates

a nie

Password with Certificates

.

Uz to funguje :)

[kulichs]

já používal toto než jsem přešel na OpenWRT, tak snad pomůže.

dev tun
proto tcp-client
remote x.x.x.x 1194 # verejna IP Mikrotiku nebo domain name
ca ca.crt # certifikat certifikacni autority
cert klient.crt # klientsky certifikát
key klient.key # klientsky klic
tls-client
port 1194
persist-tun
persist-key
verb 6
cipher AES-256-CBC
auth SHA1
pull
auth-user-pass
route 192.168.x.x 255.255.255.0 10.10.x.x # routa do vasi vnitni site, aby bylo mozne se dostat na zarizeni v tomto rozsahu
redirect-gateway

-----BEGIN CERTIFICATE-----

-----END CERTIFICATE-----


-----BEGIN CERTIFICATE-----

-----END CERTIFICATE-----


-----BEGIN PRIVATE KEY-----

-----END PRIVATE KEY-----