Přenositelnost profilu OpenVPN: přenosné klíče versus volby platformy

Stejný soubor .ovpn otevře tunel v jednom klientovi a v jiném se nespustí, a certifikát bývá první podezřelý. Častěji soubor obsahuje direktivu, kterou implementuje jen jeden engine. Profil je smlouva s konkrétním klientem, ne přenosný skript.

Oddělte, co cestuje s identitou, od toho, co patří platformě. Selhání se pak obvykle pojmenuje samo.

Jeden soubor, dvě smlouvy

Profil sdružuje tři druhy obsahu: identitní materiál, jako jsou certifikáty CA a klienta a soukromý klíč, transportní fakta, jako je vzdálený koncový bod a protokol, a direktivy chování, jako je práce s DNS nebo volby zařízení. První dvě jsou široce přenosné mezi enginy, které podporují stejný protokol. Třetí je místo, kde se implementace rozcházejí. Právě zacházení s celým souborem jako s jednou přenosnou jednotkou vytváří matoucí selhání.

Soubor, který funguje v GUI na jedné platformě, není automaticky platný pro klienta příkazového řádku na jiné. I když jsou oba OpenVPN, parsery a sady voleb se liší. Proto úspěšný import není důkazem přenosného profilu.

Přenosný materiál versus direktivy platformy

Sekce identity a transportu jsou část, kterou je třeba zachovat. ca, cert, key a remote popisují, kdo se připojuje a kam, a znamenají totéž pro každého kompatibilního klienta.

Direktivy chování jsou část, kterou je třeba porovnat. block-outside-dns například existuje, aby změnil chování DNS ve Windows. Unixový klient jej nemusí vůbec rozpoznat.

Čtěte seznam voleb přijímajícího klienta, ne odesílajícího. Referenční příručka OpenVPN 2.6 dokumentuje volby enginu a dialog importu v GUI tím seznamem není.

Přečtěte chybu parseru dřív než certifikát

Chyba, která pojmenuje nerozpoznanou volbu, je selhání parseru, ne autentizace. Spojení se nikdy nedostalo k TLS, takže výměna certifikátů nepomůže. Přečtěte první chybu ze skutečného klienta a verze, pak odstraňte nebo nahraďte jen direktivu, kterou tento klient neumí implementovat. Mazání sekcí certifikátu nebo tras, aby se soubor načetl, je cesta, jak se funkční profil stane nezabezpečeným.

Pokud chyba zmiňuje handshake, certifikát nebo šifru, profil se naparsoval a problém je jinde.

Ponechte původní soubor vedle upraveného. Když upravený soubor později selže, původní je kontrola, která vám řekne, zda se posunula změna, nebo prostředí.

Oprávnění jsou druhá hranice

Oprávnění jsou druhá hranice: vytvoření tunelového zařízení, instalace tras a čtení soukromého klíče závisí na místních právech. Soubor s klíčem čitelný jen pro root je běžné nasazení, ne vada profilu. Oprava patří do vlastnictví nebo schopností, ne do souboru.

Spuštění klienta přes sudo může vyřešit místní odmítnutí oprávnění a nemůže přidat direktivu, kterou binárka neimplementuje. Mění také, čí klíčenka, konfigurační cesty a kontext správce sítě se použijí, takže výsledek není stejný test.

Upravujte vědomě

Když poskytovatel zveřejňuje samostatné profily, vezměte ten určený přijímajícímu klientovi. Upravovat soubor jiné platformy je poslední možnost. Vyžaduje záznam o každé změněné volbě a kopii originálu.

Testujte identitu, směrování a DNS jako tři samostatné výsledky. Profil, který autentizuje a směruje, ale rozbíjí překlad jmen, je částečně upravený profil, ne funkční.