Torxed's questions

如果证书的通用名称包含非 UTF8 字符（例如瑞典名称），如何处理 OpenVPN 中的单个客户端配置？

我查看了 OpenVPN 日志，上面写着：

10.0.0.6:33157 [l  vberg] Peer Connection Initiated with [AF_INET]...
l  vberg/10.0.0.6:33157 MULTI_sva: pool returned IPv4...
l  vberg/10.0.0.6:33157 MULTI: Learn: ...
l  vberg/10.0.0.6:33157 SENT CONTROL [l  vberg]: 'PUSH_REPLY...

所以我转储了日志的“二进制”表示，这就是它的实际含义：

10.0.0.6:33157 [l\xef\xbf\xbd\xef\xbf\xbdvberg] Peer Connection Initiated with [AF_INET]...

翻译为：

10.0.0.6:33157 [lövberg] Peer Connection Initiated with [AF_INET]...

现在，我想只是将/etc/openvpn/ccd/lovberg文件命名为：

/etc/openvpn/ccd/lövberg
/etc/openvpn/ccd/lv\xef\xbf\xbd\xef\xbf\xbdberg

然而，这些都不起作用。这里的简单解决方案显然是更改证书中的通用名称并重新颁发证书，但我更愿意在不必这样做的情况下解决这个问题。

这可能吗？

编辑：是的，我使用了 Python，并将日志的输出从 Python 复制tail -f openvpn.log到了 Python 中，以获取ö.

OpenVPN 2.3.10 i386-openbsd5.9 (OpenSSL)

我无法让 PKCS#11 和 PAM 工作，无论出于何种原因nss已停止工作并且我无法创建新数据库。

这是 PKCS11 和 NSS 的输出：

DEBUG:pkcs11_lib.c:187: Initializing NSS ...
DEBUG:pkcs11_lib.c:197: Initializing NSS ... database=/etc/pam_pkcs11/nssdb
DEBUG:pkcs11_lib.c:206: NSS_Initialize failed: (null)
ERROR:pam_pkcs11.c:250: Failed to initialize crypto

在检查了我的所有配置和操作方法后，我用谷歌搜索并发现了这个：certutil: function failed: security library: bad database

这提醒了我，我可能从未创建过新的 nss 数据库。（但是，我认为会自动完成？）

但是在尝试创建新数据库时，我得到以下信息：

# certutil -d /etc/pam_pkcs11/nssdb -N
certutil: function failed: SEC_ERROR_LEGACY_DATABASE: The certificate/key database is in an old, unsupported format.

所以我做了一些挖掘并尝试了：

# certutil -d sql:/etc/pam_pkcs11/nssdb -N
certutil: function failed: SEC_ERROR_BAD_DATABASE: security library: bad database.

系统： Fedora 21（这是最新的）
NSS： nss-tools-3.20.1-1.0 + nss-3.20.1-1.0
PAM： pam_pkcs11-0.6.8-6
OpenSC： opensc-0.14.0-2
OpenSSL： openssl-1.0.1k-12
SqlLite： sqlite-3.8.11.1-1

这是一个奇怪的。

每当我在酒店网络上时，我倾向于通过我的家庭网络路由我的所有流量。主要是因为我不完全确定我的所有密码都一直通过 SSL。

所以我有以下 OpenVPN 服务器设置：

persist-key 
dev tap
keepalive 10 120
port 1194
verb 3
status openvpn-status.log
server 10.8.0.0 255.255.255.0
push "redirect-gateway def1"
push "dhcp-option DNS 10.8.0.1"
push "dhcp-option DNS 8.8.8.8"
persist-tun 
dh dh2048.pem
cert vpnserver.crt
key vpnserver.key
tls-auth ta.key 0
ca ca.crt
proto udp
comp-lzo 
cipher AES-128-CBC
ifconfig-pool-persist ipp.txt
client-to-client

这些 iptable 规则的效果非常好：（它正在测试中，所以这里有一些东西并没有真正清理干净。但是到目前为止，我无法触及其中的任何一个来确定哪些应该保留，哪些应该去，因为我我现在正在旅行..)

*nat
:PREROUTING ACCEPT [1152:137606]
:INPUT ACCEPT [835:107096]
:OUTPUT ACCEPT [161:11725]
:POSTROUTING ACCEPT [40:2585]
-A POSTROUTING -s 10.8.0.0/24 -o enp2s0 -j MASQUERADE
# ==
# == ROUTING
# ==
-A POSTROUTING -o enp2s0 -j MASQUERADE
# ==
COMMIT
*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
:TCP - [0:0]
:UDP - [0:0]
:fw-interfaces - [0:0]
:fw-open - [0:0]
# ==
# == BRIDGE ROUTING
# ==
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -m conntrack --ctstate INVALID -j DROP
-A INPUT -p icmp -m icmp --icmp-type 8 -m conntrack --ctstate NEW -j ACCEPT
-A INPUT -p udp -m conntrack --ctstate NEW -j UDP
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,ACK SYN -m conntrack --ctstate NEW -j TCP
-A INPUT -p udp -j REJECT --reject-with icmp-port-unreachable
-A INPUT -p tcp -j REJECT --reject-with tcp-reset
-A INPUT -j REJECT --reject-with icmp-proto-unreachable
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -j fw-interfaces
-A FORWARD -j fw-open
-A FORWARD -j REJECT --reject-with icmp-host-unreachable
# ==
# == Accepts
# ==
-A TCP -p tcp -m tcp --dport 80 -j ACCEPT
-A TCP -p tcp -m tcp --dport 443 -j ACCEPT
-A TCP -p tcp -m tcp --dport 22 -j ACCEPT
-A UDP -p udp -m udp --dport 53 -j ACCEPT
# ==
# == Forwards
# ==
-A fw-interfaces -i tap0 -j ACCEPT
# == VPN route
-A FORWARD -i enp2s0 -o tap0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i tap0 -o enp2s0 -j ACCEPT
# == VPN
-A INPUT -p udp -m state --state NEW,RELATED,ESTABLISHED -m udp --dport 1194 -j ACCEPT
-A OUTPUT -p udp -m state --state RELATED,ESTABLISHED -m udp --sport 1194 -j ACCEPT
# == DNS
-A INPUT -i enp2s0 -p udp -m state --state RELATED,ESTABLISHED -m udp --sport 53 -j ACCEPT
-A OUTPUT -o enp2s0 -p udp -m udp --dport 53 -j ACCEPT
# == WEB-outgoing
-A INPUT -p tcp -m state --state RELATED,ESTABLISHED -m tcp --sport 443 -j ACCEPT
-A INPUT -p tcp -m state --state RELATED,ESTABLISHED -m tcp --sport 80 -j ACCEPT
# == WEB-incomming
-A INPUT -p tcp -m tcp -m state --state NEW,RELATED,ESTABLISHED --dport 80 -j ACCEPT
-A OUTPUT -p tcp -m tcp -m state --state ESTABLISHED,RELATED --sport 80 -j ACCEPT
# ==
# == TAP0
# ==
-A INPUT -i tap0 -p udp -m state --state RELATED,ESTABLISHED -m udp --sport 53 -j ACCEPT
-A OUTPUT -o tap0 -p udp -m udp --dport 53 -j ACCEPT
-A INPUT -i tap0 -p udp --dport 67 -j ACCEPT
#-t nat -A POSTROUTING -s 10.8.0.0/24 -o enp2s0 -j MASQUERADE
-A FORWARD -i tap0 -s 10.8.0.0/24 -o enp2s0 -j ACCEPT
-A FORWARD -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
# ==
# == GENERIC
# ==
-A INPUT -i lo -j ACCEPT
-A OUTPUT -o lo -j ACCEPT
-A INPUT -i tap0 -j ACCEPT
-A FORWARD -i tap0 -j ACCEPT
# ==
# == REJECTS
# ==
-A INPUT -p tcp -j REJECT --reject-with tcp-reset
-A INPUT -p udp -j REJECT --reject-with icmp-port-unreachable
-A INPUT -j REJECT --reject-with icmp-proto-unreachable
COMMIT
*nat
-A POSTROUTING -s 192.168.1.0/24 -o enp2s0 -j MASQUERADE
-A POSTROUTING -s 10.8.0.0/24 -o enp2s0 -j MASQUERADE
COMMIT

# Generated by iptables-save v1.4.21 on Thu Jun  5 18:54:09 2014
*mangle
:PREROUTING ACCEPT [76747:82460059]
:INPUT ACCEPT [18221:1445339]
:FORWARD ACCEPT [58437:80998106]
:OUTPUT ACCEPT [17305:8505640]
:POSTROUTING ACCEPT [75742:89503746]
COMMIT
# Completed on Thu Jun  5 18:54:09 2014
# Generated by iptables-save v1.4.21 on Thu Jun  5 18:54:09 2014
*nat
:PREROUTING ACCEPT [1152:137606]
:INPUT ACCEPT [835:107096]
:OUTPUT ACCEPT [161:11725]
:POSTROUTING ACCEPT [40:2585]
-A POSTROUTING -o enp2s0 -j MASQUERADE
COMMIT
# Completed on Thu Jun  5 18:54:09 2014
# Generated by iptables-save v1.4.21 on Thu Jun  5 18:54:09 2014
*filter
:INPUT ACCEPT [18037:1435358]
:FORWARD ACCEPT [58437:80998106]
:OUTPUT ACCEPT [17119:8490056]
-A FORWARD -i enp2s0 -o wlp3s0 -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i wlp3s0 -o enp2s0 -j ACCEPT
COMMIT
# Completed on Thu Jun  5 18:54:09 2014

这只是一种工作方式，因为流量肯定会通过 VPN 路由。
但无论出于何种原因，响应流量都会返回 VPN 网络之外，这是不希望的。我假设这些MASQUERADE线都是错误的？

这是一个示例：


但是当我执行跟踪时，响应会在 VPN 之外返回：

我的路由没问题，我的 DNS 工作正常，所以我再次假设我MASQUERADE在 iptables 中出错了？也许我试图桥接来自两个接口的流量过于复杂了enp2s0（我已经删掉了br0只是192.168.1.0/24为了缩短规则一点）

编辑：这是我的路线（wlp3s0=wifi）：

[torxed@archie ~]$ ip route
0.0.0.0/1 via 10.8.0.1 dev tap0 
default via 192.168.1.254 dev wlp3s0 
10.8.0.0/24 dev tap0  proto kernel  scope link  src 10.8.0.2 
109.X.X.X via 192.168.1.254 dev wlp3s0 
128.0.0.0/1 via 10.8.0.1 dev tap0 
192.168.1.0/24 dev wlp3s0  proto kernel  scope link  src 192.168.1.81 

我有两台服务器，一台运行普通的旧服务器，git在/opt/. 这些项目现在将被转移到一个新的服务器上，我选择在该服务器上运行gitlabGUI 并能够邀请朋友学习编程并有一个更容易查看和管理项目的地方。

但是，在搬家时，我想保留旧代码库的修订版。不知何故，我认为只是做scp -r old-server.net:/opt/project.git /gitlab/就足够了，但这失败了。

我导航到gitlab并创建了一个新的 repo，只是为了获取创建 wiki 的文件夹结构和一个代码文件夹/gitlab/project.git，该文件夹结构与旧服务器上的文件夹结构相同（显然没有代码），并且项目可以正常加载gitlab，但是然后我做了rm -rf project.git并且做了scp ...现在我得到一个500 We're sorry, but something went wrong..

我的猜测是服务器文件夹中的修订和可能的 URL 是错误的，但我无法通过手动浏览文件或通过 gitlab 上的文档找到任何内容。

有人做过类似的事情吗？

先感谢您！

将 OpenVPN 作为服务运行，如何将日志（默认保存到\program files\openvpn\log或如果--log已指定）重定向到windows event logger.

我不想将日志存储在比我绝对必须的更多的地方，而且我找不到执行此操作的特定参数（我可以发誓我以前使用过它但我无法访问任何先前的日志一段时间）。

快速提问只是为了验证我不会精神错乱。如果使用设备模式“tap”并且我得到了一个功能齐全的连接，我可以毫无问题地从客户端 ping 到服务器。

但是，我想强制我的流量通过 VPN，无论如何都不会泄露任何内容。我对此一头雾水，但这在 ? 中不应该有效server.ovpn吗？

mode server
tls-server
...
dev tap
dev-node TAP1

ifconfig 192.168.0.1 255.255.255.0
ifconfig-pool 192.168.0.10 192.168.0.20
route-gateway 192.168.0.1
route 192.168.0.0 255.255.255.0 192.168.0.1

client-to-client
push "route 192.168.0.0 255.255.255.0 192.168.0.1"
push "route-gateway 192.168.0.1"
push "redirect-gateway def1"

client.ovpn看起来像：

client
tls-client
dev tap
dev-node TAP1
...
pull

连接建立，但没有建立，客户端日志的输出是：

ROUTE default_gateway=<external IP gateway>
PUSH: Recieved control message: 'PUSH_REPLY,route 192.168.0.0 255.255.255.0 192.168.0.1,route-gateway...
Notified TAP-Win32 driver to set a DHCP IP/netmask of 192.168.0.10/255.255.255.0 on interface ...
Successful ARP Flush
Added routes 139.. 127.. 192...

一切似乎都很好，只是检查时没有设置默认网关ipconfig /all

的输出route print看起来像：

Destination        Netmask         Gateway
0.0.0.0            0.0.0.0         <external Gateway>   <-- Wrong?
192.168.0.0        255.255.255.0   On-link
192.168.0.0        255.255.255.0   192.168.0.1

路由表似乎关闭了？