Portabilitat del perfil OpenVPN: claus portables enfront d’opcions de plataforma

El mateix fitxer .ovpn obre un túnel en un client i no arrenca en un altre, i el certificat sol ser el primer sospitós. Més sovint el fitxer conté una directriu que només implementa un motor. Un perfil és un contracte amb un client concret, no un script portable.

Separeu el que viatja amb la identitat del que pertany a una plataforma. Aleshores la fallada normalment es nomena sola.

Un fitxer, dos contractes

Un perfil agrupa tres tipus de contingut: material d’identitat com els certificats CA i de client i la clau privada, fets de transport com l’extrem remot i el protocol, i directrius de comportament com el tractament de DNS o les opcions de dispositiu. Els dos primers són àmpliament portables entre motors que admeten el mateix protocol. El tercer és on les implementacions divergeixen. Tractar el fitxer sencer com una única unitat portable és el que produeix les fallades confuses.

Un fitxer que funciona en una interfície gràfica en una plataforma no és automàticament vàlid per al client de línia d’ordres en una altra. Fins i tot quan tots dos són OpenVPN, els analitzadors i els conjunts d’opcions difereixen. Per això una importació correcta no és prova d’un perfil portable.

Material portable enfront de directrius de plataforma

Les seccions d’identitat i transport són la part que cal preservar. ca, cert, key i remote descriuen qui es connecta i on, i signifiquen el mateix per a qualsevol client conforme.

Les directrius de comportament són la part que cal comparar. block-outside-dns, per exemple, existeix per canviar el comportament de DNS a Windows. Un client Unix potser no el reconeix en absolut.

Llegiu la llista d’opcions del client que rep, no la del que envia. El manual de referència d’OpenVPN 2.6 documenta les opcions del motor, i el diàleg d’importació d’una interfície gràfica no és aquesta llista.

Llegiu l’error de l’analitzador abans del certificat

Un error que esmenta una opció no reconeguda és una fallada de l’analitzador, no d’autenticació. La connexió no va arribar mai a TLS, així que canviar certificats no pot ajudar. Llegiu el primer error del client i la versió reals, i després traieu o substituïu només la directriu que aquest client no pot implementar. Esborrar seccions de certificat o de rutes per fer que el fitxer carregui és com un perfil que funciona es converteix en un d’insegur.

Si l’error esmenta l’apretada de mans, un certificat o un xifratge, el perfil s’ha analitzat i el problema és en un altre lloc.

Guardeu el fitxer original al costat de l’adaptat. Quan l’adaptat falli més endavant, l’original és el control que us diu si s’ha mogut el canvi o l’entorn.

El privilegi és una segona frontera

El privilegi és l’altra frontera: crear un dispositiu de túnel, instal·lar rutes i llegir una clau privada depenen tots de permisos locals. Un fitxer de clau llegible només per root és un desplegament normal, no un defecte del perfil. La solució pertany a la propietat o a les capacitats, no al fitxer.

Executar el client amb sudo pot resoldre una denegació de permisos local, i no pot afegir una directriu que el binari no implementa. També canvia de quin usuari s’apliquen l’anell de claus, les rutes de configuració i el context del gestor de xarxa, així que el resultat no és la mateixa prova.

Adapteu amb deliberació

Quan un proveïdor publica perfils separats, preneu el destinat al client que rep. Adaptar el fitxer d’una altra plataforma és l’últim recurs. Requereix un registre de cada opció canviada i una còpia de l’original.

Proveu la identitat, l’encaminament i el DNS com tres resultats separats. Un perfil que autentica i encamina però trenca la resolució de noms és un perfil adaptat parcialment, no un de funcional.