Пераноснасць профілю OpenVPN: пераносныя ключы супраць параметраў платформы

Той самы файл .ovpn адкрывае тунэль у адным кліенце і не запускаецца ў іншым, і сертыфікат звычайна першы падазроны. Часцей за ўсё файл змяшчае дырэктыву, якую рэалізуе толькі адзін рухавік. Профіль — гэта дамова з пэўным кліентам, а не пераносны скрыпт.

Аддзяліце тое, што падарожнічае з ідэнтычнасцю, ад таго, што належыць платформе. Тады збой звычайна сам сябе называе.

Адзін файл, дзве дамовы

Профіль аб’ядноўвае тры віды змесціва: матэрыял ідэнтычнасці, такі як сертыфікаты CA і кліента і прыватны ключ, факты транспарту, такія як аддалены канечны пункт і пратакол, і дырэктывы паводзін, такія як апрацоўка DNS або параметры прылады. Першыя два шырока пераносныя паміж рухавікамі, якія падтрымліваюць той самы пратакол. Трэці — гэта месца, дзе рэалізацыі разыходзяцца. Менавіта стаўленне да ўсяго файла як да адной пераноснай адзінкі спараджае загадкавыя збоі.

Файл, які працуе ў GUI на адной платформе, не аўтаматычна прыдатны для кліента каманднага радка на іншай. Нават калі абое — OpenVPN, парсеры і наборы параметраў розныя. Таму паспяховы імпарт не з’яўляецца доказам пераноснага профілю.

Пераносны матэрыял супраць дырэктыў платформы

Раздзелы ідэнтычнасці і транспарту — гэта частка, якую трэба захаваць. ca, cert, key і remote апісваюць, хто падключаецца і куды, і яны азначаюць тое самае для любога сумяшчальнага кліента.

Дырэктывы паводзін — гэта частка для параўнання. block-outside-dns, напрыклад, існуе, каб змяніць паводзіны DNS у Windows. Кліент Unix можа яго зусім не распазнаць.

Чытайце спіс параметраў кліента-атрымальніка, а не адпраўніка. Даведачнае кіраўніцтва OpenVPN 2.6 дакументуе параметры рухавіка, а дыялог імпарту GUI — гэта не той спіс.

Чытайце памылку парсера раней за сертыфікат

Памылка, якая называе невядомы параметр, — гэта збой парсера, а не збой аўтэнтыфікацыі. Злучэнне так і не дасягнула TLS, таму змена сертыфікатаў не можа дапамагчы. Чытайце першую памылку ад фактычнага кліента і версіі, затым выдаліце або заменіце толькі тую дырэктыву, якую гэты кліент не можа рэалізаваць. Выдаленне раздзелаў сертыфіката або маршрутаў, каб файл загрузіўся, — гэта шлях ад працоўнага профілю да небяспечнага.

Калі памылка згадвае рукапацісканне, сертыфікат або шыфр, профіль разабраны, і праблема ў іншым месцы.

Трымайце арыгінальны файл побач з адаптаваным. Калі адаптаваны файл пазней зламаецца, арыгінал — гэта кантроль, які паказвае, ці зрушылася змена, ці асяроддзе.

Прывілеі — другая мяжа

Прывілеі — гэта іншая мяжа: стварэнне тунэльнай прылады, усталяванне маршрутаў і чытанне прыватнага ключа залежаць ад лакальных дазволаў. Файл ключа, чытэльны толькі для root, — гэта звычайнае разгортванне, а не дэфект профілю. Выпраўленне належыць да ўласнасці або магчымасцяў, а не да файла.

Запуск кліента праз sudo можа вырашыць лакальную адмову ў доступе і не можа дадаць дырэктыву, якую бінарнік не рэалізуе. Ён таксама змяняе, чый ключавы набор, шляхі канфігурацыі і кантэкст сеткавага менеджэра прымяняюцца, таму вынік — не той самы тэст.

Адаптуйце ўсвядомлена

Калі пастаўшчык публікуе асобныя профілі, вазьміце той, што прызначаны для кліента-атрымальніка. Адаптацыя файла іншай платформы — апошні сродак. Яна патрабуе запісу кожнага змененага параметра і копіі арыгінала.

Тэстуйце ідэнтычнасць, маршрутызацыю і DNS як тры асобныя вынікі. Профіль, які аўтэнтыфікуецца і маршрутызуе, але ламае развязанне імёнаў, — гэта часткова адаптаваны профіль, а не працоўны.