web-dev-qa-db-fra.com

OpenVPN TLS HandShake a échoué avec le serveur Linux / client Windows

J'ai récemment acheté un Odroid C2 avec le système d'exploitation Ubuntu 16.04. J'ai installé OpenVPN pour pouvoir accéder de partout à mon réseau domestique. J'ai des dossiers de partage Samba ...

J'ai suivi ce tutoriel: https://www.digitalocean.com/community/tutorials/how-to-set-up-an-openvpn-server-on-ubuntu-16-04

J'ai des problèmes avec TLS lorsque j'essaie de connecter mon client Windows 10 au serveur avec l'interface graphique OpenVPN pour Windows.

TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
TLS Error: TLS handshake failed

Journal de l'interface graphique OpenVPN:

Fri Jun 10 22:56:35 2016 OpenVPN 2.3.11 x86_64-w64-mingw32 [SSL (OpenSSL)] [LZO] [PKCS11] [IPv6] built on May 10 2016
Fri Jun 10 22:56:35 2016 Windows version 6.2 (Windows 8 or greater) 64bit
Fri Jun 10 22:56:35 2016 library versions: OpenSSL 1.0.1t  3 May 2016, LZO 2.09
Fri Jun 10 22:56:35 2016 MANAGEMENT: TCP Socket listening on [AF_INET]127.0.0.1:25340
Fri Jun 10 22:56:35 2016 Need hold release from management interface, waiting...
Fri Jun 10 22:56:36 2016 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:25340
Fri Jun 10 22:56:36 2016 MANAGEMENT: CMD 'state on'
Fri Jun 10 22:56:36 2016 MANAGEMENT: CMD 'log all on'
Fri Jun 10 22:56:36 2016 MANAGEMENT: CMD 'hold off'
Fri Jun 10 22:56:36 2016 MANAGEMENT: CMD 'hold release'
Fri Jun 10 22:56:36 2016 Control Channel Authentication: tls-auth using INLINE static key file
Fri Jun 10 22:56:36 2016 Outgoing Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
Fri Jun 10 22:56:36 2016 Incoming Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
Fri Jun 10 22:56:36 2016 Socket Buffers: R=[65536->65536] S=[65536->65536]
Fri Jun 10 22:56:36 2016 UDPv4 link local: [undef]
Fri Jun 10 22:56:36 2016 UDPv4 link remote: [AF_INET](My address IP):1194
Fri Jun 10 22:56:36 2016 MANAGEMENT: >STATE:1465613796,WAIT,,,
Fri Jun 10 22:57:36 2016 TLS Error: TLS key negotiation failed to occur within 60 seconds (check your network connectivity)
Fri Jun 10 22:57:36 2016 TLS Error: TLS handshake failed
Fri Jun 10 22:57:36 2016 SIGUSR1[soft,tls-error] received, process restarting
Fri Jun 10 22:57:36 2016 MANAGEMENT: >STATE:1465613856,RECONNECTING,tls-error,,
Fri Jun 10 22:57:36 2016 Restart pause, 2 second(s)
Fri Jun 10 22:57:38 2016 Socket Buffers: R=[65536->65536] S=[65536->65536]
Fri Jun 10 22:57:38 2016 UDPv4 link local: [undef]
Fri Jun 10 22:57:38 2016 UDPv4 link remote: [AF_INET] (My address IP):1194
Fri Jun 10 22:57:38 2016 MANAGEMENT: >STATE:1465613858,WAIT,,,

Ma configuration client (fichier .ovpn) sans le texte en commentaire:

client
dev tun
proto udp
remote (My address IP) 1194
resolv-retry infinite
nobind
persist-tun
remote-cert-tls server
comp-lzo
verb 3
key-direction 1

(The ca.crt, the client.crt and the client.key files are include in the ovpn file)

Ma configuration de serveur (server.conf) sans le texte en commentaire:

port 1194
proto udp
dev tun
ca ca.crt
cert server.crt
key server.key
dh dh2048.pem
server 10.8.0.0 255.255.255.0
ifconfig-pool-persist ipp.txt
Push "redirect-gateway def1 bypass-dhcp"
Push "dhcp-option DNS 208.67.222.222"
Push "dhcp-option DNS 208.67.220.220"
keepalive 10 120
tls-auth ta.key 0
key-direction 0
comp-lzo
user nobody
group nogroup
persist-key
persist-tun
status openvpn-status.log
verb 3

Sur mon routeur, je règle le transfert de port pour le port 1194 avec l'adresse IP d'Odroid: voir l'image

J'essaie aussi le proto TCP mais il réessaie la connexion toutes les 5 secondes.

Pouvez-vous m'aider s'il vous plaît! :)

16.04vpnwindows-10openvpntls
1
Julien D.

Si vous êtes certain de vous connecter avec l'adresse IP publique correcte, il est possible que le pare-feu Ubuntus bloque la connexion. OpenVPN fonctionne pour moi avec les règles suivantes:

iptables -A INPUT -i eth0 -p udp -m state --state NEW -m udp --dport 1194 -j ACCEPT
iptables -A INPUT -i tun+ -j ACCEPT
iptables -A OUTPUT -o tun+ -j ACCEPT

Et bien sûr, il faut sauver les règles. Iptables-persistent est un bel outil pour cela:

Sudo apt-get install iptables-persistent

Une fois installé, vous pouvez sauvegarder/recharger les règles iptables à tout moment:

Sudo /etc/init.d/iptables-persistent save 
Sudo /etc/init.d/iptables-persistent reload

Pour résoudre davantage le problème, vous pouvez surveiller le trafic côté serveur pour voir si quelque chose atteint le port 1194:

Sudo apt-get-install ngrep
ngrep port 1194

Bonne chance

1
Taavi