Šta .ovpn datoteka zaista sadrži i šta ne može

Većina ljudi pretpostavlja da .ovpn datoteka konfiguriše VPN. To nije tako: ona konfiguriše jedan klijent, a sve što traži već mora postojati na drugoj strani. Promjena reda u datoteci može promijeniti šta vaša mašina pokušava, nikada šta server nudi. Ta razlika objašnjava većinu zabune oko profila koji se ne mogu uvesti ili povezati.

Čitajte datoteku kao listu zahtjeva upućenih vašem klijentu i većina njenih redova postaće očigledna.

Datoteka opisuje vaš klijent, ne server

Profil objedinjuje remote odredište, transport, tip interfejsa, identifikacijski materijal i svako ponašanje na strani klijenta koje operater želi. Svaki red klijent izvršava pri pokretanju. Nijedan od njih ne stiže na server kao promjena konfiguracije i nijedan ne može stvoriti slušalicu koja već ne radi. Profil koji navodi TCP 443 prema serveru koji sluša samo na UDP 1194 pada na prvom paketu.

Zato se ista datoteka ponaša različito na dva klijenta: datoteka traži, a klijent odlučuje koliko zahtjeva može ispuniti.

Transportni redovi moraju odgovarati slušalici koja već postoji

proto i remote redovi moraju se slagati s onim što server zapravo veže. UDP je uobičajen izbor jer izgubljeni datagram ne zaglavljuje tunel, dok TCP može preživjeti restriktivne mreže po cijeni blokiranja zaglavlja reda unutar tunela. Prebacivanje profila s UDP na TCP ne tjera server da prihvati TCP; samo tjera klijent da šalje na port koji niko ne čita.

Port 443 je popularan jer prolazi kroz mreže koje ne dopuštaju gotovo ništa drugo, i ostaje OpenVPN sesija, a ne HTTPS zahtjev. Ako operater objavi nekoliko remote redova, klijent ih isprobava po redu, što je lista za prebacivanje pri otkazu, a ne odluka o raspodjeli opterećenja. Zadržite kombinacije koje je operater isporučio umjesto da miješate host iz jednog unosa s portom iz drugog.

Ugrađeni ključevi mijenjaju način na koji rukujete datotekom

Certifikati i ključevi mogu stajati ugrađeni između oznaka <ca>, <cert> i <key>, ili biti navedeni kao zasebne datoteke. Ugrađeni materijal čini profil samostalnim i istovremeno ga čini tajnom, jer privatni ključ klijenta putuje unutar njega. CA certifikat je javni materijal povjerenja i siguran je za dijeljenje; privatni ključ nije, čak i kada izgleda kao nečitljiv blok teksta.

Lozinka koja štiti ključ zasebna je tajna od lozinke računa, a njihovo miješanje daje grešku autentifikacije koja izgleda kao pogrešni podaci za prijavu.

Rute i DNS možda uopće ne dolaze iz datoteke

Rutiranje može gurati server, postaviti profil pomoću redirect-gateway, ili ostati na klijentovim vlastitim zadanim postavkama. Datoteka koju ste preuzeli zato ne određuje u potpunosti kuda promet ide nakon što se tunel podigne. Kada se unutrašnja imena razrješavaju a javni sajtovi ne, politika podijeljenog tunela radi ono za što je napravljena, a ne otkazuje.

DNS slijedi isti obrazac: gurnuti dhcp-option DNS klijent može primijeniti, ignorisati ili ga može nadjačati lokalni upravitelj razrješivača. Provjerite stanje razrješivača nakon povezivanja umjesto da ponovo čitate profil.

Nepodržane opcije pitanje su verzije klijenta

Upozorenja pri uvozu obično znače da klijent ne implementira neku direktivu, a ne da je datoteka oštećena. Desktop klijenti mogu pokretati skripte i dodatke pod dokumentovanim kontrolama, dok mobilni klijenti prihvataju uži skup i mogu tiho odbaciti redove koje ne razumiju. Postavka šifre ili TLS-a koju stariji klijent odbija jeste problem verzije koji treba riješiti s operaterom. Uključivanje nepoznatih privilegija da bi se uvoz iznudio mijenja upozorenje za širu površinu napada.

Sačuvajte originalnu datoteku za poređenje, navedite tačnu nepodržanu direktivu u svom zahtjevu i zatražite profil napravljen za klijent koji zaista pokrećete.

Nakon svake zamjene provjerite koji unos profila aplikacija koristi, jer uvoz nove datoteke ne prepisuje uvijek staru.