Какво всъщност съдържа един .ovpn файл и какво не може да направи

Повечето хора предполагат, че .ovpn файлът конфигурира VPN. Това не е така: той конфигурира един клиент и всичко, което изисква, трябва вече да съществува от другата страна. Промяната на ред във файла може да промени какво опитва вашата машина, но никога какво предлага сървърът. Тази разлика обяснява по-голямата част от объркването около профили, които не се импортират или свързват.

Четете файла като списък със заявки, адресирани до вашия клиент, и повечето му редове стават очевидни.

Файлът описва вашия клиент, а не сървъра

Профилът съдържа remote адрес, транспорт, тип интерфейс, идентификационен материал и всяко клиентско поведение, което операторът иска. Всеки ред се изпълнява от клиента при стартиране. Нито един от тях не достига до сървъра като промяна на конфигурацията и нито един не може да създаде слушател, който вече не работи. Профил, който посочва TCP 443 към сървър, слушащ само на UDP 1194 се проваля още при първия пакет.

Ето защо същият файл се държи различно при два клиента: файлът иска, а клиентът решава каква част от заявката може да изпълни.

Транспортните редове трябва да съвпадат със слушател, който вече съществува

proto и remote редове трябва да съвпадат с това, което сървърът действително обвързва. UDP е обичайният избор, защото загубена датаграма не блокира тунела, докато TCP може да оцелее в ограничени мрежи на цената на блокиране на опашката вътре в тунела. Превключването на профил от UDP към TCP не кара сървъра да приеме TCP; то само кара клиента да изпраща към порт, който никой не чете.

Порт 443 е популярен, защото преминава през мрежи, които не позволяват почти нищо друго, и остава OpenVPN сесия, а не HTTPS заявка. Ако операторът публикува няколко remote реда, клиентът ги опитва по ред, което е списък за отказоустойчивост, а не решение за балансиране на натоварването. Запазете комбинациите, които операторът е предоставил, вместо да смесвате хост от един запис с порт от друг.

Вградените ключове променят начина, по който боравите с файла

Сертификатите и ключовете могат да стоят вградени между таговете <ca>, <cert> и <key>, или да бъдат посочени като отделни файлове. Вграденият материал прави профила самостоятелен и също го прави тайна, защото частният ключ на клиента пътува вътре в него. CA сертификатът е публичен доверителен материал и е безопасно да се сподели; частният ключ не е, дори когато изглежда като нечетим блок текст.

Паролата за достъп, която защитава ключ, е отделна тайна от паролата на акаунта и смесването им води до грешка при удостоверяване, която изглежда като грешни идентификационни данни.

Маршрутите и DNS може изобщо да не идват от файла

Маршрутизацията може да бъде изтласкана от сървъра, зададена от профила с redirect-gateway или оставена на собствените настройки по подразбиране на клиента. Затова файлът, който сте изтеглили, не определя напълно къде отива трафикът, след като тунелът се вдигне. Когато вътрешните имена се резолвват, а публичните сайтове не, политиката на разделен тунел прави това, за което е създадена, а не се проваля.

DNS следва същия модел: изтласканата dhcp-option DNS може да бъде приложена от клиента, игнорирана или заменена от локален мениджър на резолвера. Проверете състоянието на резолвера след свързване, вместо да четете профила отново.

Неподдържаните опции са въпрос на версия на клиента

Предупрежденията при импортиране обикновено означават, че клиентът не прилага дадена директива, а не че файлът е повреден. Настолните клиенти могат да изпълняват скриптове и плъгини при документирани ограничения, докато мобилните клиенти приемат по-тесен набор и могат тихо да изхвърлят редове, които не разбират. Настройка за шифър или TLS, която по-стар клиент отказва, е проблем с версията, който се решава с оператора. Даването на непознати привилегии, за да се наложи импортиране, заменя предупреждение срещу по-голяма повърхност за атаки.

Запазете оригиналния файл за сравнение, отбележете точната неподдържана директива в заявката си и поискайте профил, изграден за клиента, който действително използвате.

След всяка подмяна проверете кой запис на профила използва приложението, защото импортирането на нов файл не винаги презаписва стария.