使用 tls-crypt 时如何从 Chromebook 连接到 OpenVPN？

Question

​你好！

我对 Chromebook 和 ONC 文件非常陌生，所以如果有人问过并回答过，我深表歉意。

我正在运行 OpenVPN v2.4.9 服务器，使用 .ovpn 格式的客户端配置文件，一切都可以在 Mac/Linux/Windows 上正常运行。在服务器端，我根据新建议使用tls-crypt（而不是tls-auth），看起来这就是CB失败的地方，使用ONC文件。

这是我的服务器配置：

auth SHA256
auth-nocache
ca /etc/openvpn/server/ca.crt
cert /etc/openvpn/server/server.crt
cipher AES-256-GCM
client-config-dir /etc/openvpn/client
compress lz4-v2
dev tun
dh /etc/openvpn/server/dh2048.pem
explicit-exit-notify 1
ifconfig-pool-persist /etc/openvpn/server/ipp.txt
keepalive 10 120
key /etc/openvpn/server/server.key
log         /var/log/openvpn/connection.log
log-append  /var/log/openvpn/connection.log
max-clients 10
ncp-ciphers AES-256-GCM
persist-key
persist-tun
plugin /usr/lib64/openvpn/plugins/openvpn-plugin-auth-pam.so login
port 1194
proto udp4
push "compress lz4-v2"
push "dhcp-option DNS 8.8.8.8"
push "redirect-gateway def1 bypass-dhcp"
push "route 10.0.0.0 255.255.0.0"
remote-cert-eku "TLS Web Client Authentication"
server 192.168.10.0 255.255.255.0
sndbuf 2097152
status /var/log/openvpn/status.log
tls-crypt /etc/openvpn/server/ta.key
tls-version-min 1.2
verb 3

这是我的客户端 ONC 配置：

{
  "Type": "UnencryptedConfiguration",
  "Certificates": [
    {
      "GUID": "Bootstrap-Server-CA",
      "Type": "Authority",
      "X509": "MIIGITCCBAmgAw.....MAYsw8ZLPlmJNN/wA=="
    },
    {
      "GUID": "Bootstrap-Root-CA",
      "Type": "Authority",
      "X509": "MIIGDDCCA/SgAf.....TbtcIBMrAiSlsOwHg=="
    },
    {
      "GUID": "Bootstrap-User-Cert",
      "Type": "Client",
      "PKCS12": "MIILvQIBAzCC.....srrOGmHY3h7MPauIlD3"
    }
  ],
  "NetworkConfigurations": [
    {
      "GUID": "BOOTSTRAP_CONN_1",
      "Name": "bootstrap_vpn",
      "Type": "VPN",
      "VPN": {
        "Type": "OpenVPN",
        "Host": "xx.xxx.xx.xxx",
        "OpenVPN": {
          "Auth": "SHA256",
          "Cipher": "AES-256-GCM",
          "ClientCertRef": "Bootstrap-User-Cert",
          "ClientCertType": "Ref",
          "IgnoreDefaultRoute": true,
          "KeyDirection": "1",
          "Port": 1194,
          "Proto": "udp4",
          "RemoteCertEKU": "TLS Web Client Authentication",
          "RemoteCertTLS": "server",
          "UseSystemCAs": true,
          "ServerCARefs": [
            "Bootstrap-Server-CA",
            "Bootstrap-Root-CA",
          ],
          "TLSAuthContents": "-----BEGIN OpenVPN Static key V1-----\n....\n.....\n-----END OpenVPN Static key V1-----\n",
          "UserAuthenticationType": "Password"
        }
      }
    }
  ]
}

它在客户端失败，没有这样有用的消息（除了说：无法连接到网络..）但在服务器上，它报告为：

Wed Sep 23 17:44:15 2020 us=591576 tls-crypt unwrap error: packet authentication failed 
Wed Sep 23 17:44:15 2020 us=591631 TLS Error: tls-crypt unwrapping failed from [AF_INET]xx.xx.xx.xx:64762 
Wed Sep 23 17:44:44 2020 us=359795 tls-crypt unwrap error: packet authentication failed 
Wed Sep 23 17:44:44 2020 us=359858 TLS Error: tls-crypt unwrapping failed from [AF_INET]xx.xx.xx.xx:19733

知道我做错了什么或遗漏了什么吗？如果有人能把我引向正确的方向，我将不胜感激。

-S

Answer 1

据我所知，ONC 格式不接受 tls-crypt。如果您的 Chromebook 接受 Android 应用程序，您可以使用非官方的 OpenVPN android 应用程序 (blinkt.de)，它确实接受。