Dotaz: Debian 10 - nelze se přihlásit k serveru (openvpn)

[Dalibor Smolík]

Zdravím, delší dobu používám openvpn (vygenerované klíče jsou rok staré), celkem na 3 počítačích, každý na jiném místě (jiná IP adresa) a po překopírování klíčů nebyl problém se přihlásit na server u Debianu 8. Na jeden z nich jsem instaloval Debian 10, zkopíroval skripty do /etc/openvpn stejně, jako u ostatních.
Přihlásit se však nelze, přestože ip a ukáže přidání tap0 do systému. Používám Mysql+PHP na vzdáleném serveru, k němu se potřebuji připojit i z počítače, kde je Debian 10 (a předtím Debian 8 fungoval). Potřeboval bych jen vědět, jestli skutečně nová instalace vyšší verze Debianu s tím může souviset.

Odpovědi

[k3dAR]

nevim, nepouzivam, ale tohle na me vyskocilo :)

[Dalibor Smolík]

Díky, už jsem na to taky narazil. Server bych měnit nechtěl (Debian 9), mám na něm php 5 a do sedmičky se mi nechce, totéž mysql. Nemám moc zájem upgradovat . Ale prostuduji.

[PetebLazar]

Klientské cerfikáty se v openssl defaultně generují s platností 365 dní, jestli tedy již nevypršely? Fungují stále z prostředí Debian 8?

[Dalibor Smolík]

Klientský certifikát funguje 3650 dní, poprvé byly vygenerovány v květnu 2008, nové přesně o deset let později. Na Debianu 8 (který mám také na chalupě) fungují naprosto perfektně. Přenesené na notebook s Debianem 8 také fungovaly, dokud jsem na notebooku nenainstaloval Debian 10 - jde o "pokusný" starší stroj, Acer Aspire 3100, grafické prostředí LXDE, vše funguje, jak má, včetně ssh na vzdálený server, ale openvpn nikoliv. Kernel 4.19.0-5-amd64.

[PetebLazar]

Co říká klientsky/serverovy openvpn log? Možná mu zvednout v configu hodnotu verb.

[Dalibor Smolík]

/var/log/openvpn je u klienta prázdný. Server bude spuštěný až v pondělí. V konfigu klienta je verb 3.

[Aleš Kapica]

Chybí informace o uživatelském jménu. U novějších verzí Debianu se nepřihlásíš jako root heslem, pokud to nepovolíš v konfiguraci sshd.

[Dalibor Smolík]

To by asi nemělo mít vliv, jsem přihlášen do grafického prostředí pod uživatelským jménem, pod rootem (su -) jen kopíruji klientské certifikáty do /etc/openvpn.

[Aleš Kapica]

Je to jen taková hypotetická diskuze, protože zde není uvedeno jakým způsobem se na ten vzdálený stroj leze. Já předpokládám připojení přes SSH.

Rozhodující je, pod jakým uživatelem se klient hlásí na ten server – openvpn dělá jenom tunel.

Lézt přes…

~$ ssh vzdaleny_stroj

Není to samé co

~# ssh vzdaleny_stroj

V prvním případě se ověřuje uživatelské jméno stejné, jakým je člověk přihlášen. V tom druhém se použije uživatel 'root'.

Pokud se přepneš přes su na roota (su není sudo!), tak pak nelezeš na vzdálený stroj jako uživatel, ale jako root, a to, pokud není povoleno v sshd přihlašování heslem pro roota neklapne, pokud tam není naimportovaný veřejný ssh klíč uživatele root.

Já bych teda osobně zkontroloval co se na vzdáleném stroji zapisuje do souboru /var/log/auth.log

[Dalibor Smolík]

Přes ssh se na vzdálený server dostanu. Pod rootem v konzoli
ssh -p číslo_portu root@nazev_stroje (podle tabulky /etc/hosts). Pokud se připojuji přes openvpn tak způsobem, že si otevřu chromium nebo firefox a nastavím si příslušnou cestu. Pak se mi objeví úvodní stránka databáze, kterou spravuji. Připojení adresářů vzdáleného serveru přes opevpn neřeším. Pokud to potřebuji, stáhnu si je přes ssh prostřednictvím mc. Jde mi jen o databázi.

[uživatel debianu]

V Debianu 10 je minimální požadovaná verze TLS 1.2, v /etc/ssl/openssl.cnf je: MinProtocol = TLSv1.2

Spousta VPN serverů podporuje jen TLS 1.0, workaround je nastavit na klientovi TLS 1.0: MinProtocol = TLSv1.0

[Dalibor Smolík]

Díky, tohle vypadá nadějně. Vyzkouším, až budu mít k tomu podmínky. Dám pak vědět.

[Dalibor Smolík]

Bohužel až teď jsem se dostal k možnosti v reálu připojení vyzkoušet, ale úprava MinProtocol = TLSv1.0 na klientovi nepomohla . Jen opakuji - prostřednictvím ssh se ke vzdálenému serveru připojím bez problémů. Jde o openvpn, abych mohl mít přístup k databázi (php+mysql+apache). Na jiném stroji s Debianem 8 je spojení v pořádku.

[Dalibor Smolík]

Vyřešeno. Úprava MinProtocolu pomohla, chyba byla v souboru /etc/hosts. Banalita, ale nedalo se to ověřit dřív. Každopádně díky.