Prenosivost OpenVPN profila: prenosivi ključevi nasuprot opcijama platforme

Ista datoteka .ovpn otvara tunel u jednom klijentu, a u drugom se ne pokreće, i certifikat je obično prvi osumnjičeni. Češće datoteka sadrži direktivu koju implementira samo jedan pogon. Profil je ugovor s određenim klijentom, a ne prenosiva skripta.

Odvojite ono što putuje s identitetom od onoga što pripada platformi. Tada kvar obično sam sebe imenuje.

Jedna datoteka, dva ugovora

Profil objedinjuje tri vrste sadržaja: identitetski materijal kao što su CA i klijentski certifikati i privatni ključ, transportne činjenice kao što su udaljena krajnja točka i protokol, te direktive ponašanja kao što su rukovanje DNS-om ili opcije uređaja. Prve dvije su široko prenosive među pogonima koji podržavaju isti protokol. Treća je mjesto gdje se implementacije razilaze. Upravo tretiranje cijele datoteke kao jedne prenosive jedinice stvara zbunjujuće kvarove.

Datoteka koja radi u GUI-ju na jednoj platformi nije automatski valjana za klijent naredbenog retka na drugoj. Čak i kada su oba OpenVPN, parseri i skupovi opcija se razlikuju. Zato uspješan uvoz nije dokaz prenosivog profila.

Prenosivi materijal nasuprot direktivama platforme

Odjeljci identiteta i transporta dio su koji treba sačuvati. ca, cert, key i remote opisuju tko se povezuje i gdje, i znače isto svakom sukladnom klijentu.

Direktive ponašanja dio su koji treba usporediti. block-outside-dns, na primjer, postoji kako bi promijenio ponašanje DNS-a u Windowsu. Unix klijent ga možda uopće neće prepoznati.

Čitajte popis opcija klijenta koji prima, a ne onoga koji šalje. Referentni priručnik za OpenVPN 2.6 dokumentira opcije pogona, a dijalog za uvoz u GUI-ju nije taj popis.

Pročitajte grešku parsera prije certifikata

Greška koja imenuje nepoznatu opciju je kvar parsera, a ne kvar provjere identiteta. Veza nikada nije stigla do TLS-a, pa promjena certifikata ne može pomoći. Pročitajte prvu grešku iz stvarnog klijenta i verzije, zatim uklonite ili zamijenite samo direktivu koju taj klijent ne može implementirati. Brisanje odjeljaka s certifikatom ili rutama da bi se datoteka učitala put je kojim radni profil postaje nesiguran profil.

Ako greška spominje handshake, certifikat ili šifru, profil je parsiran i problem je negdje drugdje.

Držite izvornu datoteku uz prilagođenu. Kada prilagođena datoteka kasnije zakaže, izvorna je kontrola koja vam kaže je li se pomakla promjena ili okruženje.

Privilegija je druga granica

Privilegija je druga granica: stvaranje tunelskog uređaja, instaliranje ruta i čitanje privatnog ključa zavise od lokalnih dozvola. Datoteka ključa koju čita samo root normalno je postavljanje, a ne nedostatak profila. Ispravak pripada vlasništvu ili ovlastima, a ne datoteci.

Pokretanje klijenta sa sudo može riješiti lokalno odbijanje dozvole i ne može dodati direktivu koju binarna datoteka ne implementira. Također mijenja čiji se privjesak ključeva, putanje konfiguracije i kontekst mrežnog upravitelja primjenjuju, pa rezultat nije isti test.

Prilagodite namjerno

Kada pružatelj objavljuje zasebne profile, uzmite onaj namijenjen klijentu koji prima. Prilagođavanje datoteke druge platforme posljednje je sredstvo. Zahtijeva zapis svake promijenjene opcije i kopiju izvorne datoteke.

Testirajte identitet, usmjeravanje i DNS kao tri zasebna ishoda. Profil koji provjerava identitet i usmjerava, ali kvari razrješavanje imena, djelomično je prilagođen profil, a ne radni.