OpenVPN 连接报错排查

可能的原因及解决方法

1. tls-crypt 密钥不匹配
   • 这是最常见的原因：服务器和客户端必须使用相同的 tls-crypt 密钥文件（通常是ta.key）。
   • 检查服务器配置（server.conf）和客户端配置（.ovpn）中是否都正确指定了相同的密钥文件：
     • 服务器端通常有：tls-crypt ta.key
     • 客户端通常有：tls-crypt ta.key（或通过<tls-crypt>标签内嵌密钥）
   • 确保两端的ta.key内容完全一致，重新生成或同步密钥文件后重试。
2. tls-crypt 配置不一致
   • 若服务器启用了tls-crypt，客户端必须也启用；若服务器用的是tls-auth（旧版加密），客户端也需对应配置，两者不能混用。
   • 检查服务器和客户端配置中是否统一使用tls-crypt（推荐）或tls-auth，避免一端启用而另一端未启用的情况。
3. 密钥文件权限或路径错误
   • 服务器端的ta.key文件可能权限不足（如 OpenVPN 进程无法读取），或路径配置错误（服务器找不到密钥文件）。
   • 解决：
     • 确认服务器配置中tls-crypt后的路径正确（如/etc/openvpn/ta.key）。
     • 确保密钥文件权限为600（仅所有者可读写），并属于 OpenVPN 运行用户（如openvpn）。
4. TLS 版本或加密算法不兼容
   • 客户端和服务器支持的 TLS 版本（如 TLS 1.2/1.3）或加密套件不匹配，可能导致解密失败。
   • 检查服务器配置中是否指定了兼容的加密套件，例如：
     plaintext

     tls-version-min 1.2
     cipher AES-256-GCM
     auth SHA512
     
   • 确保客户端配置中的加密相关参数与服务器一致。
5. 网络数据包损坏或被篡改
   • 网络不稳定、丢包，或中间设备（如防火墙、代理）修改了数据包，可能导致 TLS 层解密失败。
   • 尝试暂时关闭客户端或服务器端的防火墙 / 安全软件，测试是否为拦截导致。
   • 检查网络连接稳定性，避免在高丢包环境下连接。
6. 证书或密钥文件损坏
   • 若 OpenVPN 同时使用了证书（ca.crt、server.crt等），证书损坏或过期可能间接导致 TLS 握手异常。
   • 验证证书有效性：检查证书过期时间（openssl x509 -in server.crt -noout -dates），确保 CA 证书、服务器证书、客户端证书完整且未损坏。

排查步骤总结

1. 优先确认服务器和客户端的tls-crypt密钥文件完全一致。
2. 检查两端配置中tls-crypt的启用状态是否匹配（均启用或均不启用）。
3. 验证密钥文件路径、权限及证书有效性。
4. 排查网络环境和加密算法兼容性。