ما الذي يحتويه ملف .ovpn فعلاً، وما الذي لا يستطيع فعله

يفترض معظم الناس أن ملف .ovpn يضبط شبكة VPN. لكنه لا يفعل ذلك: فهو يضبط عميلاً واحداً، وكل ما يطلبه يجب أن يكون موجوداً مسبقاً على الجانب الآخر. تغيير سطر في الملف قد يغيّر ما تحاوله جهتك، ولا يغيّر أبداً ما يقدمه الخادم. هذا التمييز يفسّر معظم الالتباس حول الملفات الشخصية التي تفشل في الاستيراد أو الاتصال.

اقرأ الملف كقائمة طلبات موجّهة إلى عميلك، وستصبح معظم أسطره واضحة.

الملف يصف عميلك، لا الخادم

يجمع الملف الشخصي نقطة نهاية remote ونوع نقل ونوع واجهة ومواد هوية وأي سلوك من جانب العميل يريده المشغّل. كل سطر ينفّذه العميل عند بدء التشغيل. لا يصل أي منها إلى الخادم كتغيير في الإعدادات، ولا يمكن لأي منها إنشاء مستمع غير قائم أصلاً. ملف شخصي يذكر TCP 443 مقابل خادم يستمع على UDP 1194 فقط يفشل عند أول حزمة بيانات.

ولهذا أيضاً يتصرف الملف نفسه بشكل مختلف على عميلين: الملف يطلب، والعميل يقرّر كم من الطلب يستطيع تلبيته.

أسطر النقل يجب أن تطابق مستمعاً موجوداً مسبقاً

proto و remote سطران يجب أن يتوافقا مع ما يرتبطه الخادم فعلاً. UDP هو الخيار المعتاد لأن حزمة بيانات مفقودة لا توقف النفق، بينما يستطيع TCP النجاة من الشبكات المقيّدة على حساب حجب رأس الصف داخل النفق. تحويل ملف شخصي من UDP إلى TCP لا يجعل الخادم يقبل TCP؛ بل يجعل العميل يرسل إلى منفذ لا يقرأه أحد.

المنفذ 443 شائع لأنه يمر عبر شبكات لا تسمح بغيره تقريباً، ويبقى جلسة OpenVPN لا طلب HTTPS. وإذا نشر المشغّل عدة أسطر remote، يجرّبها العميل بالترتيب، وهي قائمة تجاوز للفشل لا قرار موازنة حِمل. أبقِ التركيبات التي شحنها المشغّل بدلاً من خلط مضيف من إدخال بمنفذ من إدخال آخر.

المفاتيح المضمّنة تغيّر طريقة تعاملك مع الملف

يمكن أن توجد الشهادات والمفاتيح مضمّنة بين وسوم <ca>, <cert> و <key>، أو يُشار إليها كملفات منفصلة. المواد المضمّنة تجعل الملف الشخصي مكتفياً بذاته وتجعله أيضاً سرّاً، لأن مفتاح العميل الخاص يسافر داخله. شهادة CA مادة ثقة عامة ويجوز مشاركتها؛ أما المفتاح الخاص فلا، حتى لو بدا كتلة نص غير قابلة للقراءة.

عبارة المرور التي تحمي مفتاحاً سرّ منفصل عن كلمة مرور الحساب، وخلطهما ينتج فشل مصادقة يبدو كبيانات اعتماد خاطئة.

قد لا تأتي المسارات وDNS من الملف إطلاقاً

يمكن أن يدفع الخادم التوجيه، أو يضبطه الملف الشخصي عبر redirect-gateway، أو يُترك لإعدادات العميل الافتراضية. لذا فإن الملف الذي نزّلته لا يحدّد بالكامل إلى أين يذهب الاتصال بعد قيام النفق. عندما تُحلّ الأسماء الداخلية ولا تُحلّ المواقع العامة، فسياسة النفق المنقسم تفعل ما صُممت له، وليست تفشل.

يتبع DNS النمط نفسه: قد يطبّق العميل dhcp-option DNS المدفوع، أو يتجاهله، أو تتجاوزه أداة إدارة مُحلّل محلية. تحقّق من حالة المُحلّل بعد الاتصال بدلاً من قراءة الملف الشخصي مرة أخرى.

الخيارات غير المدعومة مسألة إصدار العميل

تحذيرات الاستيراد تعني عادة أن العميل لا ينفّذ توجيهاً، لا أن الملف تالف. يمكن لعميلات سطح المكتب تشغيل البرامج النصية والإضافات ضمن ضوابط موثّقة، بينما تقبل عميلات الهاتف مجموعة أضيق وقد تُسقط بصمت أسطراً لا تفهمها. إعداد التشفير أو TLS يرفضه عميل أقدم هو مشكلة إصدار تُحلّ مع المشغّل. تمكين صلاحيات غير مألوفة لفرض الاستيراد يقايض تحذيراً بسطح هجوم أوسع.

احتفظ بالملف الأصلي للمقارنة، واذكر التوجيه غير المدعوم بدقة في طلبك، واطلب ملفاً شخصياً مبنياً للعميل الذي تشغّله فعلاً.

بعد أي استبدال، تأكّد من إدخال الملف الشخصي الذي يستخدمه التطبيق، لأن استيراد ملف جديد لا يستبدل القديم دائماً.