Імпарт файла .ovpn: што ён усталёўвае, а што не

Вы імпартавалі профіль, кліент паведамляе пра злучэнне, а сістэмны спіс сертыфікатаў выглядае гэтак жа, як раней. Гэта чаканы вынік, а не няўдалы імпарт. Файл .ovpn — гэта тэкставая канфігурацыя, якая паведамляе сумяшчальнаму кліенту OpenVPN, як дасягнуць сервера і як прайсці аўтэнтыфікацыю, і ён ніколі нічога не запісвае ў сховішча давераных сертыфікатаў прылады. З гэтай блытаніны вынікаюць дзве памылкі: чаканне, што з'явіцца ўласны тып VPN, і выснова, што імпарт не ўдаўся, бо ні адзін сертыфікат не паказаўся.

Перакананне, што імпарт усталёўвае сертыфікат

Профіль можа змяшчаць матэрыял сертыфіката ўбудаваным, і менавіта адсюль бярэцца ідэя: блок тэксту паміж вуглавымі дужкамі выглядае як усталяванне. Кліент насамрэч разбірае яго як канфігурацыю і перадае сертыфікат свайму ўласнаму слою TLS, а не аперацыйнай сістэме. У налады даверу прылады нічога не дадаецца, і не павінна дадавацца. Файл апісвае злучэнне, а сховішча даверу апісвае, каму прылада гатовая верыць.

Профіль таксама бескарысны без прыватнага ключа, на які ён спасылаецца, і гэта яшчэ адна прычына, чаму ён не сертыфікат. Атрымайце файл з праверанага канала аператара і абыходзьцеся з ім як з адчувальным матэрыялам, бо ён можа ўтрымліваць матэрыял ідэнтычнасці, які належыць вам. Страціце ключ — і профіль стане апісаннем злучэння, якое вы не можаце ўсталяваць.

Адкрыйце файл так, як апісвае кліент

Выкарыстоўвайце дакументаваную опцыю імпарту файла ў кліенце, а не перайменаванне пашырэння і не ўстаўку тэксту ў старонні дыялог VPN. Некаторыя прадукты таксама прымаюць URL або спакаваны архіў, і гэта асобныя падтрыманыя метады са сваімі рэжымамі збою. Калі сертыфікаты ці ключы прыходзяць асобнымі файламі, высветліце, як кліент чакае іх атрымаць, перш чым нешта перамяшчаць. Капіраванне аднаго толькі тэксту .ovpn на другую машыну пакідае кожны згаданы шлях указаным на файл, якога там няма, і паведамленне пра памылку будзе пра адсутны файл, а не пра адсутны імпарт.

Вось пастка пераноснасці ў адным сказе: тэкст пераносіцца, а спасылкі не. Размясціце згаданыя файлы ў той структуры, якую апісвае кліент, або пераўтварыце профіль ва ўбудаваную форму, калі кліент гэта падтрымлівае.

Убудаваны матэрыял супраць згаданых файлаў

Убудаваны профіль змяшчае CA, сертыфікат і ключ унутры файла, таму ён самадастатковы і пераносны, але таксама адзін аб'ект, які трэба ахоўваць так жа старанна, як ключ унутры яго. Профіль са спасылкамі называе шляхі на дыску, і гэта працуе толькі там, дзе гэтыя шляхі існуюць і дзе кліент мае дазвол іх чытаць. Перанос адной формы без другой — звычайная няўдача пераноснасці, і яна ўсплывае як памылка TLS, а не як памылка імпарту. Ні адна з форм не змяняе мадэль бяспекі, бо кліент па-ранейшаму правярае сервер і па-ранейшаму патрабуе прыдатны прыватны ключ.

Профіль, які адключае праверку, каб імпарт прайшоў, абмяняў праверку на выглядае прагрэсу. Вярніце наладу назад, перш чым падключацца да чаго-небудзь рэальнага.

Адхіленая дырэктыва — гэта неадпаведнасць кліента

Дырэктыву, якую прымае настольны кліент, можа адхіліць мабільны кліент або спрошчаная настольная зборка, і сюды трапляюць скрыптовыя хук, каманды маршрутызацыі і некаторыя опцыі транспарту. Кліент не ўпарціцца; ён адмаўляецца выконваць інструкцыі, якія не можа забяспечыць. Памылкі імпарту звычайна называюць дырэктыву, і гэтае імя значна карыснейшае за агульнае паведамленне пра немагчымасць імпарту. Пашукайце гэтае імя ў уласнай дакументацыі кліента, перш чым наогул рэдагаваць профіль.

Не выдаляйце праверку сервера і не уключайце незнаёмыя скрыпты толькі дзеля таго, каб імпарт прайшоў. Знайдзіце кліент, які падтрымлівае дырэктыву, або папрасіце ў аператара профіль, напісаны для кліента, які вы фактычна выкарыстоўваеце. Выдаленне радка, каб заглушыць памылку, змяняе тое, што гарантуе злучэнне, і гэтая змена перажыве імпарт.

Праверце запіс, які вы фактычна запускаеце

Нішто не гарантуе, што файл, які вы толькі што спампавалі, замяніў копію, імпартаваную ў мінулым месяцы, таму перад падключэннем пацвердзіце выбранае імя профілю і звесткі пра яго сервер. Пасля падключэння праверце рэсурс, які вам сапраўды патрэбны, і даследуйце паводзіны маршрутызацыі і DNS, бо завершанае злучэнне — гэта толькі першы этап. Калі профіль адхілены, захавайце дакладнае паведамленне імпарту і версію кліента, бо гэта іншая праблема, чым профіль, які імпартуецца, а потым не дасягае свайго сервера. Дапаможнік OpenVPN апісвае дырэктывы, якія можа змяшчаць профіль, і гэта крыніца, да якой трэба звяртацца перад рэдагаваннем.

Калі замена працуе, выдаліце стары запіс уласным сродкам выдалення кліента. Выдаленне файла з папкі Загрузкі пакідае захаванае злучэнне ўнутры праграмы некранутым. Завяршыце тым, што запішыце, якое імя профілю актыўнае, каб наступны чалавек не падключыўся праз копію, якую вы збіраліся адмяніць.