Wat ’n .ovpn-lêer werklik bevat, en wat dit nie kan doen nie

Die meeste mense aanvaar dat ’n .ovpn-lêer ’n VPN opstel. Dit doen dit nie: dit stel een kliënt op, en alles wat dit aanvra, moet reeds aan die ander kant bestaan. Om ’n reël in die lêer te verander, kan verander wat jou masjien probeer, nooit wat die bediener bied nie. Dié onderskeid verduidelik die meeste verwarring rondom profiele wat nie invoer of verbind nie.

Lees die lêer as ’n versoeklys wat aan jou kliënt gerig is, en die meeste van sy reëls word ooglopend.

Die lêer beskryf jou kliënt, nie die bediener nie

’n Profiel bundel ’n remote eindpunt, ’n vervoer, ’n koppelvlaktipe, identiteitsmateriaal en enige kliëntkant-gedrag wat die operateur wil hê. Elke reël word by die begin deur die kliënt uitgevoer. Nie een daarvan bereik die bediener as ’n konfigurasieverandering nie, en nie een kan ’n luisteraar skep wat nie reeds loop nie. ’n Profiel wat TCP 443 noem teen ’n bediener wat net op UDP 1194 luister misluk by die eerste pakkie.

Dit is ook waarom dieselfde lêer op twee kliënte anders optree: die lêer vra, en die kliënt besluit hoeveel van die versoek hy kan nakom.

Vervoerreëls moet pas by ’n luisteraar wat reeds bestaan

Die proto en remote reëls moet ooreenstem met wat die bediener werklik bind. UDP is die gewone keuse omdat ’n verlore datagram nie die tonnel laat vasloop nie, terwyl TCP beperkende netwerke kan oorleef ten koste van hoof-van-lyn-blokkering binne die tonnel. Om ’n profiel van UDP na TCP te skakel, maak nie dat die bediener TCP aanvaar nie; dit laat die kliënt net na ’n poort stuur wat niemand lees nie.

Poort 443 is gewild omdat dit deur netwerke gaan wat min anders toelaat, en dit bly ’n OpenVPN sessie eerder as ’n HTTPS-versoek. As die operateur verskeie remote reëls publiseer, probeer die kliënt hulle in volgorde, wat ’n oorskakellys is eerder as ’n lasbalanseringsbesluit. Hou die kombinasies wat die operateur gestuur het, eerder as om ’n gasheer uit een inskrywing met ’n poort uit ’n ander te meng.

Ingebedde sleutels verander hoe jy die lêer hanteer

Sertifikate en sleutels kan inlyn sit tussen <ca>, <cert> en <key> etikette, of as aparte lêers verwys word. Inlynmateriaal maak die profiel selfstandig en maak dit ook ’n geheim, want die kliënt se private sleutel reis daarin. ’n CA-sertifikaat is openbare vertrouensmateriaal en is veilig om te deel; ’n private sleutel is nie, selfs wanneer dit soos ’n onleesbare blok teks lyk.

Die wagwoordfrase wat ’n sleutel beskerm, is ’n aparte geheim van die rekeningwagwoord, en om hulle te verwar lewer ’n verifikasiefout op wat soos verkeerde geloofsbriewe lyk.

Roetes en DNS kom dalk glad nie uit die lêer nie

Roetering kan deur die bediener gestoot word, deur die profiel met redirect-gateway gestel word, of aan die kliënt se eie verstekke oorgelaat word. Die lêer wat jy afgelaai het, bepaal dus nie heeltemal waar verkeer heen gaan nadat die tonnel opkom nie. Wanneer interne name oplos en openbare werwe nie, doen die split-tonnel-beleid wat dit ontwerp is om te doen, nie dat dit misluk nie.

DNS volg dieselfde patroon: ’n gestote dhcp-option DNS kan deur die kliënt toegepas, geïgnoreer of deur ’n plaaslike resolverbestuurder oorheers word. Kyk na die resolver se toestand nadat jy verbind het, eerder as om die profiel weer te lees.

Nie-ondersteunde opsies is ’n kliëntweergawe-vraag

Invoerwaarskuwings beteken gewoonlik dat die kliënt ’n instruksie nie implementeer nie, nie dat die lêer korrup is nie. Rekenaarkliënte kan skrifte en inproppe onder gedokumenteerde beheer laat loop, terwyl mobiele kliënte ’n smaller stel aanvaar en reëls wat hulle nie verstaan nie, dalk stilweg laat val. ’n Sifer- of TLS-instelling wat ’n ouer kliënt weier, is ’n weergaweprobleem om met die operateur op te los. Om onbekende voorregte te aktiveer om ’n invoer af te dwing, ruil ’n waarskuwing vir ’n wyer aanvalsoppervlak.

Hou die oorspronklike lêer vir vergelyking, noem die presiese nie-ondersteunde instruksie in jou versoek, en vra vir ’n profiel wat gebou is vir die kliënt wat jy werklik gebruik.

Na enige vervanging, bevestig watter profielinskrywing die app gebruik, want om ’n nuwe lêer in te voer oorskryf nie altyd die ou een nie.