استيراد ملف ‎.ovpn‎: ما الذي يثبّته وما الذي لا يثبّته

استوردت الملف الشخصي، ويقول العميل إنه متصل، وقائمة شهادات النظام تبدو كما كانت تماماً من قبل. هذه هي النتيجة المتوقعة وليست فشلاً في الاستيراد. ملف .ovpn هو إعداد نصي يخبر عميل OpenVPN المتوافق بكيفية الوصول إلى خادم وبكيفية المصادقة، وهو لا يكتب شيئاً أبداً في مخزن ثقة الجهاز. وخطآن ينبعان من هذا الالتباس: توقّع ظهور نوع VPN أصلي، والاستنتاج بأن الاستيراد فشل لأن أي شهادة لم تظهر.

الاعتقاد بأن الاستيراد يثبّت شهادة

يمكن أن يحمل الملف الشخصي مادة الشهادة مضمّنة، ومن هنا جاءت الفكرة: كتلة نص بين قوسين زاويين تبدو كعملية تثبيت. لكن العميل يحلّلها كإعداد بدلاً من ذلك، فيسلّم الشهادة إلى طبقة TLS الخاصة به لا إلى نظام التشغيل. لا يُضاف شيء إلى إعدادات ثقة الجهاز، ولا ينبغي أن يُضاف. الملف يصف اتصالاً، بينما يصف مخزن الثقة من يكون الجهاز مستعداً لتصديقه.

الملف الشخصي عديم الفائدة أيضاً بدون المفتاح الخاص الذي يشير إليه، وهذا سبب آخر لكونه ليس شهادة. احصل على الملف من قناة المشغّل الموثّقة، وتعامل معه كمادة حساسة، لأنه قد يضمّن مادة هوية تعود إليك. وإذا فقدت المفتاح صار الملف الشخصي وصفاً لاتصال لا تستطيع إجراؤه.

افتح الملف بالطريقة التي يوثّقها العميل

استخدم خيار استيراد الملف الموثّق في العميل بدلاً من إعادة تسمية الامتداد أو لصق النص في مربّع حوار VPN لا علاقة له بالأمر. بعض المنتجات تقبل أيضاً رابطاً أو أرشيفاً مجمّعاً، وهذه طرق مدعومة منفصلة لها أنماط فشل خاصة بها. وإذا وصلت الشهادات أو المفاتيح كملفات منفصلة، فاعرف كيف يتوقع العميل استلامها قبل تحريك أي شيء. نسخ نص .ovpn وحده إلى جهاز ثانٍ يترك كل مسار مُشار إليه يشير إلى ملف غير موجود، وستتحدث رسالة الخطأ عن ملف مفقود لا عن استيراد مفقود.

هذا هو فخّ قابلية النقل في سطر واحد: النص ينتقل والمراجع لا تنتقل. ضع الملفات المُشار إليها في التخطيط الذي يوثّقه العميل، أو حوّل الملف الشخصي إلى الصيغة المضمّنة إذا كان العميل يدعم ذلك.

المادة المضمّنة مقابل الملفات المُشار إليها

الملف الشخصي المضمّن يحمل CA والشهادة والمفتاح داخل الملف، فهو مكتفٍ بذاته وقابل للنقل، لكنه أيضاً كائن واحد يجب حمايته بعناية المفتاح الذي بداخله. أما الملف الشخصي المرجعي فيسمّي مسارات على القرص، وهذا لا يعمل إلا حيث توجد تلك المسارات وحيث يعمل العميل بإذن قراءتها. نقل صيغة دون الأخرى هو فشل قابلية النقل المعتاد، ويظهر كخطأ TLS لا كخطأ استيراد. ولا أيّ من الصيغتين يغيّر نموذج الأمان، لأن العميل ما زال يتحقق من الخادم وما زال يحتاج مفتاحاً خاصاً صالحاً للاستخدام.

الملف الشخصي الذي يعطّل التحقق لينجح الاستيراد قد استبدل الفحص بمظهر التقدّم. أعد الإعداد قبل الاتصال بأي شيء حقيقي.

التوجيه المرفوض يعني عدم توافق العميل

التوجيه الذي يقبله عميل سطح المكتب قد يرفضه عميل جوّال أو نسخة سطح مكتب مبسّطة، وخطافات السكربت وأوامر التوجيه وبعض خيارات النقل تقع في هذه الفئة. العميل ليس متعنّتاً؛ إنه يرفض تشغيل تعليمات لا يستطيع فرضها. عادةً تسمّي أخطاء الاستيراد التوجيه، وهذا الاسم أنفع بكثير من رسالة عامة تقول إن الاستيراد غير ممكن. ابحث عن ذلك الاسم في وثائق العميل نفسه قبل تحرير الملف الشخصي أصلاً.

لا تُزل التحقق من الخادم ولا تُفعّل برمجة غير مألوفة لمجرد تمرير الاستيراد. إما أن تجد عميلاً يدعم التوجيه، أو أن تطلب من المشغّل ملفاً شخصياً مكتوباً للعميل الذي تشغّله فعلاً. حذف سطر لإسكات خطأ يغيّر ما يضمنه الاتصال، وهذا التغيير يبقى بعد الاستيراد.

تحقّق من الإدخال الذي تشغّله فعلاً

لا شيء يضمن أن الملف الذي نزّلته للتو حلّ محل النسخة المستوردة الشهر الماضي، لذا أكّد اسم الملف الشخصي المحدد وتفاصيل خادمه قبل الاتصال. بعد الاتصال، اختبر المورد الذي تحتاجه فعلاً وافحص سلوك التوجيه وDNS، لأن الاتصال المكتمل هو المرحلة الأولى فقط. وإذا رُفض الملف الشخصي، احتفظ برسالة الاستيراد الدقيقة ونسخة العميل، لأن هذه مشكلة مختلفة عن ملف يُستورد ثم لا يصل إلى خادمه. دليل OpenVPN يوثّق التوجيهات التي قد يحتويها الملف الشخصي، وهو المرجع الذي يجب مراجعته قبل تحرير أي منها.

بعد أن يعمل البديل، أزل الإدخال القديم بأداة الحذف الخاصة بالعميل. حذف الملف من مجلد التنزيلات يترك الاتصال المخزّن داخل التطبيق كما هو. اختم بتسجيل اسم الملف الشخصي النشط، حتى لا يتصل الشخص التالي عبر النسخة التي كنت تنوي إزالتها.