.ovpn faylı əslində nə ehtiva edir və nə edə bilməz

Əksər insanlar .ovpn faylının VPN-i konfiqurasiya etdiyini düşünür. Bu doğru deyil: fayl bir müştərini konfiqurasiya edir və onun tələb etdiyi hər şey artıq digər tərəfdə mövcud olmalıdır. Faylda bir sətri dəyişmək maşınınızın nəyə cəhd etdiyini dəyişə bilər, heç vaxt serverin nə təklif etdiyini dəyişməz. Bu fərq idxal və ya qoşulma zamanı uğursuz olan profillər ətrafındakı qarışıqlığın çoxunu izah edir.

Faylı müştərinizə ünvanlanmış tələblər siyahısı kimi oxuyun və onun sətirlərinin çoxu aydın olacaq.

Fayl serveri deyil, müştərinizi təsvir edir

Profil bir remote son nöqtəsini, nəqli, interfeys tipini, şəxsiyyət materialını və operatorun istədiyi hər hansı müştəri tərəfli davranışı birləşdirir. Hər sətir başlanğıcda müştəri tərəfindən icra olunur. Onların heç biri serverə konfiqurasiya dəyişikliyi kimi çatmır və heç biri artıq işləməyən bir dinləyici yarada bilməz. TCP 443-ü yalnız UDP 1194 üzərində dinləyən serverə qarşı göstərən profil ilk paketdə uğursuz olur.

Bu həm də ona görədir ki, eyni fayl iki müştəridə fərqli davranır: fayl istəyir, müştəri isə sorğunun nə qədərini yerinə yetirə biləcəyinə qərar verir.

Nəql sətirləri artıq mövcud olan dinləyiciyə uyğun olmalıdır

proto və remote sətirləri serverin faktiki olaraq bağladığı ilə uyğun olmalıdır. UDP adi seçimdir, çünki itirilmiş veraqram tuneli dayandırmır, TCP isə məhdudlaşdırıcı şəbəkələrə tunel daxilində növbə başının bloklanması hesabına dözə bilir. Profili UDP-dən TCP-yə keçirmək serverin TCP qəbul etməsinə səbəb olmur; yalnız müştərini heç kimin oxumadığı porta göndərməyə vadar edir.

443 portu məşhurdur, çünki demək olar ki, başqa heç nəyə icazə verməyən şəbəkələrdən keçir və OpenVPN sessiyası olaraq qalır, HTTPS sorğusu kimi deyil. Əgər operator bir neçə remote sətri dərc edirsə, müştəri onları sıra ilə yoxlayır, bu da yük balanslaşdırma qərarı deyil, uğursuzluq keçidi siyahısıdır. Operatorun verdiyi kombinasiyaları saxlayın, bir girişdən hostu digərindən portla qarışdırmayın.

Yerləşdirilmiş açarlar faylla davranma tərzinizi dəyişir

Sertifikatlar və açarlar <ca>, <cert> və <key> teqləri arasında yerləşdirilmiş ola bilər və ya ayrı fayllar kimi göstərilə bilər. Yerləşdirilmiş material profili özünü təmin edən edir və həm də onu sirr edir, çünki müştərinin şəxsi açarı onun içində səyahət edir. CA sertifikatı açıq etimad materialıdır və paylaşılması təhlükəsizdir; şəxsi açar isə deyil, hətta oxunmaz mətn bloku kimi görünsə belə.

Açarı qoruyan parol ifadəsi hesab parolundan ayrı bir sirrdir və onları qarışdırmaq səhv etimadnamə kimi görünən autentifikasiya xətası yaradır.

Marşrutlar və DNS heç fayldan gəlməyə bilər

Marşrutlaşdırmanı server təkan edə bilər, profil redirect-gateway ilə təyin edə bilər və ya müştərinin öz susmaya görə standartlarına buraxıla bilər. Ona görə yüklədiyiniz fayl tunel qalxdıqdan sonra trafikin hara getdiyini tam müəyyən etmir. Daxili adlar həll olunub, açıq saytlar isə olunmursa, bölünmüş tunel siyasəti nəzərdə tutulduğu işi görür, uğursuz olmur.

DNS eyni qaydaya əməl edir: təkan edilən dhcp-option DNS müştəri tərəfindən tətbiq oluna, nəzərə alınmaya və ya yerli həlledici menecer tərəfindən üstələnə bilər. Profili yenidən oxumaq əvəzinə qoşulduqdan sonra həlledicinin vəziyyətini yoxlayın.

Dəstəklənməyən parametrlər müştəri versiyası məsələsidir

İdxal xəbərdarlıqları adətən müştərinin bir direktivi tətbiq etmədiyini bildirir, faylın xarab olduğunu deyil. Masaüstü müştərilər sənədləşdirilmiş nəzarət altında skriptlər və plaginlər işlədə bilər, mobil müştərilər isə daha dar çoxluq qəbul edir və başa düşmədikləri sətirləri səssizcə atə bilər. Köhnə müştərinin rədd etdiyi şifrə və ya TLS parametri operatorla həll ediləcək versiya problemidir. İdxalı məcbur etmək üçün tanış olmayan imtiyazları aktivləşdirmək xəbərdarlığı daha geniş hücum səthi ilə dəyişir.

Orijinal faylı müqayisə üçün saxlayın, sorğunuzda dəstəklənməyən direktivi dəqiq qeyd edin və faktiki işlətdiyiniz müştəri üçün qurulmuş profil istəyin.

Hər hansı əvəzləmədən sonra tətbiqin hansı profil girişini istifadə etdiyini təsdiqləyin, çünki yeni fayl idxal etmək köhnəni həmişə üzərinə yazmır.