Клиент OpenVPN с ГОСТ на НАЙС.ОС¶
Клиент НАЙС.ОС подключается к серверу OpenVPN через стандартный системный сервис openvpn-client@.... ГОСТ-профиль канала данных должен быть согласован с сервером.
Криптографическая часть конфигурации¶
client
cipher kuznyechik-cbc
auth id-tc26-gost3411-12-256
data-ciphers kuznyechik-cbc
# Совместимость со старым сервером — при необходимости:
# data-ciphers-fallback kuznyechik-cbc
Это фрагмент клиентского файла, а не полный .ovpn: настройте remote, proto, dev, доверенный CA, клиентские сертификаты/ключи и остальные необходимые параметры исходя из используемого сервера. Указанные пути к закрытым ключам никогда не должны попадать в общедоступную документацию или журнал изменений Git.
Как проверить сервис¶
systemctl list-units 'openvpn-client@*'
systemctl cat openvpn-client@.service
sudo systemctl status openvpn-client@cloud.ru.service
Замените cloud.ru на фактическое имя своего профиля. Путь клиентского конфигурационного файла определяется шаблоном systemd; уточните его через systemctl cat.
Как увидеть алгоритмы подключения¶
journalctl -u openvpn-client@cloud.ru.service -n 200 --no-pager | grep -Ei 'VERIFY OK|Control Channel|Data Channel|HMAC|Initialization'
Наличие IV_CIPHERS=kuznyechik-cbc показывает, что удалённая сторона объявляет этот шифр. Подтверждение реального использования — сообщения Incoming/Outgoing Data Channel с инициализированным kuznyechik-cbc.
Проверка пользовательского трафика¶
Уточните имя TUN-интерфейса, назначенный адрес и маршруты. Отправьте пакет к заранее определённому ресурсу через туннель и проверьте счётчики OpenVPN или интерфейса. VPN может успешно согласовать криптографию, но не маршрутизировать трафик из-за правил iptables, отсутствующего обратного маршрута или DNS.
Как работает проверка сервера¶
В документируемом профиле OpenVPN проверяет сертификат сервера через TLS. Успешные сообщения VERIFY OK, VERIFY KU OK, VERIFY EKU OK подтверждают этап проверки цепочки, назначения ключа и расширенных назначений сертификата. Они не говорят, какой алгоритм выбран для пользовательского трафика — это показано отдельно.