Importar un fitxer .ovpn: què instal·la i què no

Heu importat el perfil, el client informa que està connectat i la llista de certificats del sistema sembla exactament igual que abans. Aquest és el resultat esperat, no una importació fallida. Un fitxer .ovpn és una configuració de text que indica a un client OpenVPN compatible com arribar a un servidor i com autenticar-s'hi, i mai no escriu res a l'emmagatzematge de confiança del dispositiu. D'aquesta confusió se'n deriven dos errors: esperar que aparegui un tipus de VPN natiu i concloure que la importació ha fallat perquè no ha aparegut cap certificat.

La creença que una importació instal·la un certificat

El perfil pot portar el material del certificat en línia, i d'aquí ve la idea: un bloc de text entre claudàtors angulars sembla una instal·lació. El client, però, l'analitza com a configuració i lliura el certificat a la seva pròpia capa TLS en lloc del sistema operatiu. No s'afegeix res a la configuració de confiança del dispositiu, i no s'hi hauria d'afegir res. El fitxer descriu una connexió, mentre que l'emmagatzematge de confiança descriu en qui està disposat a creure el dispositiu.

El perfil també és inútil sense la clau privada a què fa referència, que és una altra raó per la qual no és un certificat. Obteniu el fitxer del canal verificat de l'operador i tracteu-lo com a sensible, perquè pot incrustar material d'identitat que us pertany. Si perdeu la clau, el perfil es converteix en la descripció d'una connexió que no podeu fer.

Obriu el fitxer tal com documenta el client

Feu servir l'opció d'importació de fitxers documentada pel client en lloc de canviar l'extensió o enganxar el text en un diàleg de VPN sense relació. Alguns productes també accepten una URL o un arxiu empaquetat, i són mètodes admesos diferents amb les seves pròpies formes de fallada. Si els certificats o les claus arriben com a fitxers separats, esbrineu com espera rebre'ls el client abans de moure res. Copiar només el text .ovpn a una segona màquina deixa cada camí referenciat apuntant a un fitxer que no hi és, i l'error que rebreu parlarà d'un fitxer que falta, no d'una importació que falta.

Aquesta és la trampa de la portabilitat en una línia: el text viatja i les referències no. Col·loqueu els fitxers referenciats en la disposició que documenta el client, o convertiu el perfil a la forma en línia si el client ho admet.

Material en línia enfront de fitxers referenciats

Un perfil en línia porta la CA, el certificat i la clau dins del fitxer, de manera que és autònom i portable, però també un sol objecte que cal protegir tan acuradament com la clau que conté. Un perfil referenciat anomena camins al disc, cosa que només funciona on existeixen aquests camins i on el client té permís per llegir-los. Moure una forma sense l'altra és la fallada de portabilitat habitual, i es manifesta com un error de TLS i no com un error d'importació. Cap de les dues formes no canvia el model de seguretat, perquè el client continua validant el servidor i continua necessitant una clau privada utilitzable.

Un perfil que desactiva la verificació perquè la importació funcioni ha canviat la comprovació per l'aparença de progrés. Torneu a posar la configuració abans de connectar-vos a res real.

Una directiva rebutjada és un desajust del client

Una directiva que un client d'escriptori accepta pot ser rebutjada per un client mòbil o una versió d'escriptori simplificada, i els enganxalls d'script, les ordres d'encaminament i algunes opcions de transport entren en aquesta categoria. El client no és difícil; es nega a executar instruccions que no pot fer complir. Els errors d'importació solen anomenar la directiva, i aquest nom és molt més útil que un missatge general que diu que no es pot importar. Cerqueu aquest nom a la documentació del propi client abans d'editar el perfil.

No elimineu la verificació del servidor ni activeu scripts desconeguts només per fer passar la importació. Trobeu un client que admeti la directiva o demaneu a l'operador un perfil escrit per al client que realment feu servir. Treure una línia per silenciar un error canvia el que garanteix la connexió, i aquest canvi sobreviu a la importació.

Reviseu l'entrada que realment inicieu

Res no garanteix que el fitxer que acabeu de baixar hagi substituït la còpia importada el mes passat, així que confirmeu el nom del perfil seleccionat i les dades del seu servidor abans de connectar-vos. Després de connectar-vos, proveu el recurs que realment necessiteu i inspeccioneu el comportament d'encaminament i DNS, perquè una connexió completada només és la primera etapa. Si el perfil es rebutja, guardeu el missatge exacte d'importació i la versió del client, perquè és un problema diferent del d'un perfil que s'importa i després no arriba al seu servidor. El manual de l'OpenVPN documenta les directives que pot contenir un perfil, i aquesta és la referència que cal consultar abans d'editar-ne un.

Quan la substitució funcioni, retires l'entrada antiga amb el control d'eliminació del propi client. Eliminar el fitxer de Baixades deixa intacta la connexió desada dins l'aplicació. Acabeu anotant quin nom de perfil és actiu, perquè la propera persona no es connecti a través de la còpia que volíeu retirar.