Exportació de Viscosity enfront d’un perfil OpenVPN senzill a Linux

Canviar el nom d’un fitxer .visz de Viscosity a .ovpn no canvia el que hi ha a dins, perquè l’extensió mai no va descriure cap protocol. La comparació que importa és entre un paquet amb dependències i un perfil de client senzill sense cap. Decidiu quin contenidor heu rebut realment abans de demanar a un importador de Linux que el llegeixi.

Què conté cada contenidor

La documentació d’exportació de Viscosity descriu un paquet de connexió .visc i una forma d’arxiu .visz, que és un arxiu tar comprimit. Un paquet porta la configuració juntament amb els fitxers de certificat, clau i script dels quals depèn. Un perfil OpenVPN senzill és un sol fitxer, i tot allò a què fa referència ha d’existir per separat o estar incrustat a dins.

Aquesta diferència és tota la comparació. Les relacions del paquet formen part de l’artefacte; les relacions del perfil senzill són una suposició. Moure un paquet a Linux sense conservar aquestes relacions produeix un fitxer que s’obre i després falla a la primera referència que falta. Un perfil que incrusta els seus certificats evita aquesta fallada portant-ho tot en un sol lloc, cosa que és convenient fins que cal rotar-ne un.

L’extensió externa us diu quin contenidor teniu, no quin client el pot fer servir.

On comença realment la configuració

Dins del paquet, el proveïdor documenta un config.conf al costat dels fitxers dependents, amb les referències resoltes localment. Aquest fitxer és el punt de partida, no el nom de l’arxiu ni el certificat que casualment apareix al capdamunt del llistat del directori.

A Linux el paquet pot aparèixer com un directori en lloc d’un objecte únic, perquè l’arxiu s’expandeix en fitxers que esperen estar junts. Manteniu les rutes relatives coherents a l’espai de treball on extreu, i no convertiu a mà una ruta absoluta de Windows en una ruta de Linux. Un fitxer dependent que falta i una ruta incorrecta produeixen la mateixa queixa del client.

Esborrar una opció de confiança o d’identitat per silenciar aquesta queixa no és cap solució.

Què no trasllada el paquet

Les preferències pròpies de Viscosity no són totes opcions d’OpenVPN. Els scripts, el comportament de les rutes i la configuració de l’aplicació poden necessitar representar-se mitjançant la integració compatible del client de Linux en lloc de copiar-se com a text que un altre programa pugui executar.

Tracteu qualsevol script inclòs com a dades fins que l’hàgiu llegit i hàgiu decidit que està autoritzat. Executar-lo pel fet que l’exportació el contenia inverteix la revisió que havíeu de fer. La mateixa precaució val per a les credencials incrustades: un paquet pot portar material de clau privada, així que una còpia de treball pertany a un lloc protegit i no a una carpeta de baixades.

L’original es manté protegit fins que s’accepta la migració.

Què ha de decidir la part Linux

Decidiu qui serà el propietari de la connexió: Community OpenVPN tot sol, el connector de NetworkManager o algun altre client compatible. Cadascun accepta un conjunt d’opcions diferent, i cadascun gestiona les rutes, els resolutors i els secrets a la seva manera. Un fitxer que s’obre correctament en un importador pot ser rebutjat per un altre, i l’èxit en la importació no demostra la compatibilitat amb la connexió prevista. Pregunteu a l’operador si ja existeix un perfil compatible amb Linux, perquè començar des de l’artefacte compatible és més curt que traduir-ne un.

Manteniu la confiança del servidor, la identitat del client i la protecció de la clau privada com tres qüestions separades.

La revisió abans de connectar

Comproveu el punt final i el transport, el mètode d’autenticació, cada referència a fitxers i la política de rutes i DNS prevista. Després verifiqueu la connexió i l’aplicació necessària de manera independent, perquè un túnel que s’aixeca no diu res sobre si l’aplicació pot arribar al que necessita.

openvpn --config ./config.conf --verb 4

Compareu el resultat negociat amb el que l’operador diu que hauria de fer el perfil, i anoteu qualsevol opció que el client de Linux hagi ignorat.

Quan s’accepti la migració, retireu les còpies de transferència mitjançant el procés habitual de gestió de credencials. Un paquet deixat en una carpeta compartida és una credencial deixada en una carpeta compartida.