Інструкція користувача

• Для початку давайте розглянемо найпростішу конфігурацію з використанням спільного секретного ключа.

  1. Мінімальна конфігурація сервера OpenVPN для Keenetic#1:

     dev tun
     ifconfig 10.1.0.1 10.1.0.2
     cipher AES-128-CBC
     <secret>
       <--insert the secret key here
     </secret>
     verb 3
     route 192.168.2.0 255.255.255.0

  2. Мінімальна конфігурація клієнта OpenVPN для Keenetic#2:

     dev tun
     remote KEENETIC-1.mykeenetic.net <-- server's domain name or IP address
     ifconfig 10.1.0.2 10.1.0.1
     cipher AES-128-CBC
     <secret>
       <--insert the secret key here
     </secret>
     verb 3
     route 192.168.1.0 255.255.255.0
     or
     redirect-gateway def1
     or
     route 0.0.0.0 0.0.0.0 <-- if it's neccessary to route all the traffic in the tunnel

  3. Створіть спільний секретний ключ. Для цього завантажте та встановіть OpenVPN звідси: openvpn.net/завантаження.html

     У цьому прикладі ми будемо використовувати версію 2.4.6-I602  для Windows.

     Після установки програмного забезпечення перезавантажте комп'ютер.

     За замовчуванням програма буде встановлена в C:\Program folder.

     Запустіть командний рядок Windows від імені адміністратора. Перейти до C:\Program Files\OpenVPN\bin і виконайте команду:

     openvpn.exe --genkey --secret static.key

     

  4. Відкрийте згенерований файл static.key із загальним секретним ключем у будь-якому текстовому редакторі (наприклад, Блокноті), скопіюйте його вміст у буфер обміну (Ctrl-A, Ctrl-C) і вставте (Ctrl-V) у відповідні місця файлів конфігурації клієнта та сервера.

     Приклади файлів конфігурації static-server.ovpn для Keenetic#1 і static-client.ovpn для Keenetic#2 зі спільним секретним ключем додаються в кінці цієї статті. У цих файлах є інші закоментовані (починаються з «;») налаштування OpenVPN, які за потреби можна буде використовувати пізніше. Ви можете використовувати ці файли конфігурації для перевірки, замінивши доменне ім’я KEENETIC-1.mykeenetic.ru у файлі static-client.ovpn на доменне ім’я вашого Keenetic#1 або його публічну IP-адресу та спільний секретний ключ на той, який ви згенерували, в обох файлах.

  5. Перейдіть на сторінку Інші з'єднання у вебінтерфейсі Keenetic№1 та натисніть Створити підключення в розділі VPN-підключення. У вікні Налаштування VPN-підключення виберіть OpenVPN в полі Тип (протокол).

     Потім введіть ім'я підключення в поле Ім'я підключення та вставте вміст файлу конфігурації static-server.ovpn в поле Конфігурація OpenVPN. Збережіть налаштування.

     

     Важливо

     Починаючи з KeeneticOS 3.4.1, сервер працює, тільки якщо вказано Підключатися через — Будь-яке Інтернет-з'єднання.

  6. Так само додайте з’єднання OpenVPN до вебінтерфейсу Keenetic#2, але з конфігурацією static-client.ovpn:

     

  7. Додатково на стороні Keenetic#1 (сервера) потрібно буде виконати наступні команди через інтерфейс командного рядка (CLI) маршрутизатора:

     interface OpenVPN0 no ip global
     interface OpenVPN0 security-level private

     Щоб дозволити трафік між інтерфейсами Home і OpenVPN0, які мають приватний рівень безпеки, виконують команду:

     no isolate-private

     Якщо ви плануєте використовувати цей сервер і для підключення клієнта до Інтернету, виконайте команду:

     ip nat 10.1.0.2 255.255.255.255

     збережіть налаштування командою:

     system configuration save

     

  8. Нарешті, необхідно відкрити порт для з'єднання OpenVPN. Порт за замовчуванням — UDP/1194. Для цього створіть правило для інтерфейсу Інтернет-провайдер або для інтерфейсу, що використовується для доступу в Інтернет, на сторінці Міжмережевий екран (окрім Інтернет-провайдера, це можуть бути інтерфейси PPPoE, L2TP або PPTP).

     

     У вікні Правило міжмережевого екрана виберіть Дозволити в полі Дія, UDP в полі Протокол і Дорівнює 1194 в полі Номер порту призначення.

     Після створення з'єднання встановіть перемикач на Увімкнено.

     

     На цьому налаштування тунелю OpenVPN завершено. На сторінці Інші підключення відображатиметься статус з'єднання та статистика.

     Спробуйте для перевірки зробити пінг на обидва кінці тунелю:

     ping 10.1.0.1
     ping 10.1.0.2

     а потім віддалені підмережі:

     ping 192.168.1.1
     ping 192.168.2.1

Типові помилки та рішення:

1. auth-user-pass without inline credentials data is not supported

   Файл конфігурації містить рядок для введення логіну/пароля, який Keenetic не підтримує. Помилка у файлі журналу Keenetic:

   OpenVPN0 auth-user-pass without inline credentials data is not supported
   OpenVPN0 Exiting due to fatal error

   Видаліть або закоментуйте всі рядки такого роду:

   auth-user-pass

2. Block-outside-dns помилка

   block-outside-dns опція налаштована на Сервері OpenVPN, вона правильно обробляється тільки в Windows. Помилка у файлі журналу Keenetic:

   OpenVPN0 Unrecognized option or missing or extra parameter(s) in configuration: (line X): block-outside-dns (2.4.4)
   OpenVPN0 Exiting due to fatal error

   Додайте рядок до файлу конфігурації OpenVPN клієнта:

   pull-filter ignore "block-outside-dns"

3. Помилка при підключенні до серверів PrivateTunnel

   Виводиться помилка при спробі підключення:

   OpenVPN0 Unrecognized option or missing or extra parameter(s) in configuration: (line 3): client-ip (2.4.4)

   Додайте рядок до файлу конфігурації клієнта OpenVPN:

   ignore-unknown-option client-ip block-ipv6

4. Виникає помилка при використанні опції /storage/key.txt:

   Error: private key password verification failed

   Це обмеження поточної реалізації OpenVPN в Keenetic. Ви можете використовувати тільки ключ без пароля або з фіксованим паролем: 'password'.

5. Після оновлення маршрутизатора до KeeneticOS 3.9.1, тунель VPN до серверів OpenVPN для певних постачальників VPN більше не може бути встановлений. У системному журналі можна побачити такі повідомлення:

   W [Dec 15 16:52:58] OpenVPN6: DEPRECATED OPTION: --cipher set to 'AES-128-CBC' but missing in --data-ciphers (AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305). 
   OpenVPN ignores --cipher for cipher negotiations.
   Error: private key password verification failed

   Проблема в застарілому форматі шифрування BF-CBC, який не підтримується, починаючи з клієнтської версії ОpenVPN2.5.0 (KeeneticOS 3.9 використовує версію клієнта OpenVPN2.6.0).

   Примітка

   BF-CBC шифр більше не підтримується в конфігурації за замовчуванням. Версія OpenVPN2.5.0 підтримує шифри AES-256-GCMіAES-128-GCM за замовчуванням. Ви можете змінити цю поведінку за допомогою опції data-ciphers, наприклад, вказавши в налаштуваннях data-ciphers AES-256-GCM:AES-128-GCM:BF-CBC. Для підтримки дуже старих вузлів OpenVPN, які не підтримують узгодження шифрів (режим "--cipher«), можна вказати data-ciphers-fallback BF-CBC.

   При оновленні до нової версії OpenVPN налаштування 'cipher BF-CBC' в старих файлах конфігурації буде перетворене з додаванням BF-CBC до data-ciphers сету. Крім того, буде увімкнений режим data-ciphers-fallback.

   Для успішної установки тунелю потрібно змінити директиву:

   cipher AES-128-CBC на data-ciphers AES-128-CBC або на data-ciphers AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305

   Якщо не працює, то змініть директиву:

   cipher AES-128-CBC на data-ciphers-fallback AES-128-CBC

   Для максимальної сумісності узгодження шифрів з віддаленим сервером вкажіть наступні директиви:

   data-ciphers AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305

   data-ciphers-fallback AES-128-CBC

   або

   data-ciphers AES-256-GCM:AES-128-GCM:CHACHA20-POLY1305

   data-ciphers-fallback AES-256-CBC

   Важливо

   Шифрування залежить від віддаленого сервера OpenVPN. Перед зміною директиви cipher, будь ласка, подивіться системний журнал.

6. Якщо в журналі записана наступна помилка розміру ключа:

   [E] Dec 16 19:01:38 OpenVPN0: Unrecognized option or missing or extra parameter(s) in configuration: (line 22): keysize (2.6_git)
   [E] Dec 16 19:01:38 OpenVPN0: Exiting due to fatal error
   [E] Dec 16 19:01:38 ndm: Service: "OpenVPN0": unexpectedly stopped.Error: private key password verification failed

   Тоді в конфігурації тунелю потрібно прибрати директиву опції keysize 256, яка застаріла для оновленого клієнта Опен-VPN 2.6.0, і ще раз перевірити підключення тунелю.

   Ви можете знайти детальну інформацію про опцію 'keysize' за цим посиланням.