Què conté realment un fitxer .ovpn i què no pot fer

La majoria de la gent assumeix que un fitxer .ovpn configura una VPN. No ho fa: configura un sol client, i tot el que demana ha d’existir ja a l’altre costat. Canviar una línia del fitxer pot canviar què intenta la vostra màquina, mai què ofereix el servidor. Aquesta distinció explica la major part de la confusió al voltant de perfils que no s’importen o no es connecten.

Llegiu el fitxer com una llista de peticions adreçada al vostre client, i la majoria de les seves línies es tornen òbvies.

El fitxer descriu el vostre client, no el servidor

Un perfil agrupa un remote punt final, un transport, un tipus d’interfície, material d’identitat i qualsevol comportament del costat del client que vulgui l’operador. Cada línia l’executa el client a l’inici. Cap d’elles arriba al servidor com a canvi de configuració, i cap pot crear un oient que ja no s’executi. Un perfil que anomena TCP 443 contra un servidor que només escolta a UDP 1194 falla al primer paquet.

També és per això que el mateix fitxer es comporta diferent en dos clients: el fitxer demana, i el client decideix quant de la petició pot complir.

Les línies de transport han de coincidir amb un oient que ja existeixi

proto i remote han de coincidir amb el que el servidor uneix realment. UDP és l’opció habitual perquè un datagrama perdut no encalla el túnel, mentre que TCP pot sobreviure a xarxes restrictives a costa de bloquejar el cap de cua dins del túnel. Canviar un perfil d’UDP a TCP no fa que el servidor accepti TCP; només fa que el client enviï a un port que ningú llegeix.

El port 443 és popular perquè passa per xarxes que no permeten gairebé res més, i continua sent una OpenVPN sessió i no una petició HTTPS. Si l’operador publica diverses remote línies, el client les prova en ordre, cosa que és una llista de commutació per error i no una decisió d’equilibri de càrrega. Manteniu les combinacions que va lliurar l’operador en lloc de barrejar un amfitrió d’una entrada amb un port d’una altra.

Les claus incrustades canvien com manegeu el fitxer

Els certificats i les claus poden anar incrustats entre les etiquetes <ca>, <cert> i <key>, o bé referenciats com a fitxers separats. El material incrustat fa que el perfil sigui autosuficient i també el converteix en un secret, perquè la clau privada del client viatja a dins. Un certificat CA és material de confiança públic i és segur compartir-lo; una clau privada no, ni tan sols quan sembla un bloc de text il·legible.

La contrasenya que protegeix una clau és un secret diferent de la contrasenya del compte, i barrejar-les produeix un error d’autenticació que sembla una credencial incorrecta.

Les rutes i el DNS poden no venir del fitxer

L’encaminament el pot empènyer el servidor, el pot definir el perfil amb redirect-gateway, o es pot deixar als valors per defecte del client. Per tant, el fitxer que heu baixat no determina del tot on va el trànsit després que el túnel s’aixequi. Quan els noms interns es resolen i els llocs públics no, la política de túnel dividit fa allò per a què va ser dissenyada, no falla.

El DNS segueix el mateix patró: un dhcp-option DNS empès pot ser aplicat pel client, ignorat o substituït per un gestor de resolució local. Comproveu l’estat del resolució després de connectar en lloc de tornar a llegir el perfil.

Les opcions no suportades són una qüestió de versió del client

Els avisos d’importació solen significar que el client no implementa una directiva, no que el fitxer estigui malmès. Els clients d’escriptori poden executar scripts i connectors sota controls documentats, mentre que els clients mòbils accepten un conjunt més estret i poden descartar en silenci línies que no entenen. Un paràmetre de xifratge o TLS que un client més antic rebutja és un problema de versió que cal resoldre amb l’operador. Habilitar privilegis desconeguts per forçar una importació canvia un avís per una superfície d’atac més àmplia.

Conserveu el fitxer original per comparar-lo, anoteu la directiva no suportada exacta a la vostra sol·licitud i demaneu un perfil fet per al client que realment executeu.

Després de qualsevol substitució, confirmeu quina entrada de perfil utilitza l’aplicació, perquè importar un fitxer nou no sempre sobreescriu el vell.