HMAC_CHECK_FAILED Сетевое оборудование и VPN

Ошибка OpenVPN: Packet content tampering detected (HMAC check failed)

Обновлено: 24.08.2026 · Официальная документация ↗

Сервер или клиент отклоняет пакеты со строкой: Authenticate/Decrypt packet error: packet HMAC authentication failed.
В логе появляется предупреждение: Packet content tampering detected (HMAC check failed).
Клиент застревает в статусе TLS: Initial Packet to [IP]:1194, sid=... и не может установить рукопожатие.
Счетчик отброшенных входящих пакетов на сервере непрерывно растет.

1. Проверка несоответствия tls-auth и tls-crypt

Самая распространенная причина ошибки — несовпадение механизмов пред-аутентификации. Если на сервере настроен tls-crypt, а клиент использует tls-auth (или наоборот), HMAC проверка не пройдет.

Тип защиты	Серверный конфиг	Клиентский конфиг	Направление ключа
tls-crypt (Рекомендуется)	`tls-crypt ta.key`	`tls-crypt ta.key`	Не требуется (двунаправленный)
tls-auth (Устаревший)	`tls-auth ta.key 0`	`tls-auth ta.key 1`	Строго 0 для сервера, 1 для клиента

2. Генерация единого ключа подписи ta.key

# Генерация нового общего секретного ключа
openvpn --genkey secret /etc/openvpn/server/ta.key

# Скопируйте содержимое ключа в inline-блок конфига клиента:
<tls-crypt>
-----BEGIN OpenVPN Static key V1-----
...
-----END OpenVPN Static key V1-----
</tls-crypt>

3. Проверка алгоритма хэширования (директива auth)

Если в конфигурации задана опция auth, алгоритм должен быть строго идентичен на обоих концах:

# В конфиге сервера и клиента:
auth SHA256

4. Проверка изменения трафика провайдером (Deep Packet Inspection)

Если корпоративный файрвол или интернет-провайдер модифицирует UDP-пакеты, переключите протокол туннеля на TCP поверх порта 443:

proto tcp-client
port 443

💡 Практика специалистов: Переход с tls-auth на tls-crypt решает проблему перепутанных key-direction (0/1) раз и навсегда, так как tls-crypt не требует указания числовых индексов направления.

Частые вопросы (FAQ)

В чем разница между tls-auth и tls-crypt?

tls-auth подписывает только управляющие пакеты HMAC-сигнатурой для защиты от DoS. tls-crypt дополнительно полностью шифрует заголовок TLS-рукопожатия, скрывая сертификаты от DPI систем.

Почему важны цифры 0 и 1 в директиве tls-auth ta.key?

Они определяют направление использования ключей (key-direction) для предотвращения атак отражения (Reflection Attacks). Сервер и клиент обязаны использовать противоположные значения (0 и 1).

Может ли повреждение файла ta.key при копировании вызвать эту ошибку?

Да, если при копировании через буфер обмена потерялся хотя бы один символ или добавился пробел в начале/конце строки ключа, HMAC хеш станет невалидным.

Как быстро проверить валидность HMAC хеша?

Запустите openvpn с максимальной детализацией логов: openvpn --config client.ovpn --verb 7, чтобы увидеть сырые дампы вычисления HMAC.