OpenVPN на synology 218+ - смена сертификатов

Добрый день всем.

Имеем Synology DS218+ и OpenVPN все прекрасно работает, но потребовалось для безопасности:

- сменить сертификаты

- победить наконец-то "WARNING: No server certificate verification method has been enabled. See http://openvpn.net/howto.html#mitm for more info."

Что делал:

1. Активировал SSH в DS218+

2. Авторизовался через pytty

3. Пытался скачать файл через

"C:\Program Files\PuTTY\pscp.exe" [email protected]:/var/packages/VPNCenter/target/etc/openvpn/keys/ca.crt "C:\"

- пишет нет доступа - либо ошибка в синтаксисе либо просто не дает скачать,

Could not chdir to home directory /var/services/homes/admin: No such file or directory

scp: /var/packages/VPNCenter/target/etc/openvpn/keys/ca.crt: Permission denied

4. редактировал конфиг через SSH (редактор - но толку нет пока с закгрузкой и скачкой фалов не разобрался)

vi /usr/syno/etc/packages/VPNCenter/openvpn/openvpn.conf

Использовал материал:

https://www.forum.zyxmon.org/topic51-ustana...a-synology.html

https://blog.ipredator.se/howto/synology/co...nology-nas.html

https://toster.ru/q/260573

https://habr.com/ru/post/216197/

https://www.synology.forum/index.php?sho...ic=9711&hl=

ПС:

- Гуглить не помогло

- WIKI Synology не работает (нет текста)

Вопросы:

1. Читал что проще на винде с генерировать сертификаты и залить их на DS218+, верное ли утверждение?

2. Есть ли у кого точное руководство по шаговое?

3. Где ошибки?

Походу нашел в чем загвоздка:

1. http://winitpro.ru/index.php/2018/06/07/ss...sm-6-root-keys/

2.

Пока тестирую

успехов! почему так сильно раздражало это сообщение?

приветствую. а чем закончилась история в итоге?

У меня дома подобная история закончилась установкой pfsense на виртуальную машину, а на работе - на отдельный старенький десктоп, поскольку помимо крайней усечённости функционала OVPN на Synology я получил большую нагрузку на процессор для модели 218+, при прокачке от 50Мбит/с (сейчас точно не вспомню, но где-то более 60%, при минимуме настроек шифрования) и решил что это для моих задач не вариант.

У меня дома подобная история закончилась установкой pfsense на виртуальную машину, а на работе - на отдельный старенький десктоп, поскольку помимо крайней усечённости функционала OVPN на Synology я получил большую нагрузку на процессор для модели 218+, при прокачке от 50Мбит/с (сейчас точно не вспомню, но где-то более 60%, при минимуме настроек шифрования) и решил что это для моих задач не вариант.

понято, спасибо!

Подниму тему. Чёрт меня дёрнул нажать "Обновить сертификат". После чего словил сообщение "Ошибка запуска DSM". Сертификат в Панели управления - Безопасность - Сертификат исчез. Пришлось создавать заново. Сделал по мануалу с сайта synology. Вот только предыдущий сертификат был до 2030 года, а новый выдан лишь на полгода. Но, как я понимаю, это теперь норма.

Суть в другом. После этих телодвижений в службе VPN Server не могу ничего сделать с имеющимся OpenVPN. NAS перезагружал. В статусе OpenVPN висит "Сбой при активации". В настройке OpenVPN висит надпись"Не удалось включить OpenVPN. Проверьте файл конфигурации. Чтобы включить службу OpenVPN, сначала импортируйте соответствующий промежуточный сертификат.". Выключить или удалить конфигурации OpenVPN не получается - просит сначала импортировать сертификат. Как решить проблему?

Чёрт меня дёрнул нажать "Обновить сертификат"

Регулярно так делаю, получая временные сертификаты, и всё норм пока. Правда, как я выше писал, у меня выключен сервер OVPN на Сино, используется только клиент. Сервером работает pfsense - там можно конфиг сохранить и восстановиться, потому на нём и остановился.

Т.е. теперь и сервер OVPN на NAS "погасить" удалить/установить нельзя?

Т.е. теперь и сервер OVPN на NAS "погасить" удалить/установить нельзя?

Да. А что за pfsense?

Удалил пакет VPN Server и установил заново. Теперь работает. Но у меня два сервиса DDNS. Родной от synology, второй от no-ip.com. Вот ко второму может подключиться, а к первому нет. И это не смотря на то, что в DSM объявлены оба. И сертификат выписывал на оба ddns.

pfsense - это ПО, основанное на FreeBSD, которое в принципе представляет собой программный роутер. Я когда-то заморочился с микротиками на счёт OVPN, но столкнулся с неприятными ограничениями. Попробовал на DS218+ поковырять сервер OVPN и как-то не впечатлился. pfsense конечно может и сложноват для тривиальной задачи, но зато его можно установить на любой ПК. На работе поднял на нём сервер OVPN, на основе старого ПК - Интел 2 ядра. Он прекрасно пережёвывает 100Мбит. Пережуёт там и 300, я думаю. Ставил его на виртуалку Сино, тоже работал, но я её не грузил.

Впрочем, документация на него есть, есть даже русский интерфейс в нём, что я тут рассказываю.

На счёт стороннего DDNS не подскажу, знаете ли: привык по-старинке, с внешним статическим IP.

Я когда-то заморочился с микротиками на счёт OVPN, но столкнулся с неприятными ограничениями.

А если не секрет, то в чем эти ограничения на Микроте?

А если не секрет, то в чем эти ограничения на Микроте?

Была возможность взять мощный Микротик под все нужды, но как оказалось - у них кривая поддержка OVPN, кажется там задействуется всего 1 ядро процессора. В итоге теряется весь смысл. Это как "жигули с двигателем от паровоза". А тут с pfsense, на какой-то весьма старенькой машинке, получился роутер с очень широкими возможностями. Причём, у этого старенького процессора даже поддержки AES шифрования нет. Но он всё равно рулит для этой задачи.

pfsense ставят на китайские безвентиляторные мини-ПК. Я общался с челом на NAG'е, он сказал что они у него везде стоят такие и работают роутерами. Они стоят правда тыщ от 20-ти, там портов RG45 штук 5. Это для сетевиков железки.

Ну, я сервер pfsense сделал с одной сетевушкой, причём гигабитной и встроенной. Задача была просто поднять сервер OVPN внутри локалки и пробросить с Микротика на него порт. Нет и не было у нас машинки свободной, в которой на виртуалке можно было бы поднять pfsense, так что делал это на старом ПК в качестве тестового стенда, да так он и остался сервером OVPN. Система конечно "не домашняя", хоть и есть под неё мануалы. Syno в этом смысле проще, но функционал и возможности они порезали от слова "сделали что смогли".

На счёт стороннего DDNS не подскажу, знаете ли: привык по-старинке, с внешним статическим IP.

Ну так и у меня адреса белые. DDNS же обязательно для "серых" адресов. У меня пров выдаёт временные белые адреса. Раз в несколько дней меняется.

Свою же проблему я решил. Сам виноват. Внимательнее надо конфиги редактировать. Кстати, после переустановки VPN Server он появился в списке приложений, к которым привязан сертификат. Минус DSM в том, что в окне привязки приложений к сертификатам невозможно добавить приложение. Можно только выбрать сертификат, если их несколько, для каждого приложения.