Beth yn union sydd mewn ffeil .ovpn, a beth na all ei wneud

Mae’r rhan fwyaf o bobl yn tybio bod ffeil .ovpn yn ffurfweddu VPN. Nid yw’n gwneud hynny: mae’n ffurfweddu un cleient, ac mae’n rhaid i bopeth y mae’n gofyn amdano fodoli’n barod ar yr ochr arall. Gall newid llinell yn y ffeil newid yr hyn y mae eich peiriant yn ei geisio, byth yr hyn y mae’r gweinydd yn ei gynnig. Mae’r gwahaniaeth hwnnw’n esbonio’r rhan fwyaf o’r dryswch o amgylch proffiliau sy’n methu mewnforio neu gysylltu.

Darllenwch y ffeil fel rhestr o geisiadau wedi’i chyfeirio at eich cleient, a bydd y rhan fwyaf o’i llinellau’n amlwg.

Mae’r ffeil yn disgrifio eich cleient, nid y gweinydd

Mae proffil yn cyfuno remote pen draw, cludo, math rhyngwyneb, deunydd hunaniaeth, ac unrhyw ymddygiad ar ochr y cleient y mae’r gweithredwr ei eisiau. Mae’r cleient yn gweithredu pob llinell wrth gychwyn. Nid oes yr un ohonynt yn cyrraedd y gweinydd fel newid ffurfweddiad, ac ni all yr un greu gwrandäwr nad yw eisoes yn rhedeg. Proffil sy’n enwi TCP 443 yn erbyn gweinydd sy’n gwrando ar UDP 1194 yn unig yn methu ar y pecyn cyntaf.

Dyma hefyd pam mae’r un ffeil yn ymddwyn yn wahanol ar ddau gleient: mae’r ffeil yn gofyn, ac mae’r cleient yn penderfynu faint o’r cais y gall ei anrhydeddu.

Rhaid i linellau cludo gyd-fynd â gwrandäwr sydd eisoes yn bodoli

proto a remote fod yn gyson â’r hyn y mae’r gweinydd yn ei rwymo mewn gwirionedd. UDP yw’r dewis arferol oherwydd nad yw datagram coll yn taglu’r tiwnel, tra gall TCP oroesi rhwydweithiau cyfyngol ar gost blocio pen y ciw y tu mewn i’r tiwnel. Nid yw newid proffil o UDP i TCP yn gwneud i’r gweinydd dderbyn TCP; dim ond gwneud i’r cleient anfon at borth nad oes neb yn ei ddarllen.

Mae porth 443 yn boblogaidd oherwydd ei fod yn mynd trwy rwydweithiau nad ydynt yn caniatáu fawr ddim arall, ac mae’n parhau’n sesiwn OpenVPN yn hytrach na chais HTTPS. Os yw’r gweithredwr yn cyhoeddi sawl remote llinell, mae’r cleient yn eu rhoi cynnig yn eu trefn, sef rhestr methiant-drosodd yn hytrach na phenderfyniad cydbwyso llwyth. Cadwch y cyfuniadau a gludwyd gan y gweithredwr yn lle cymysgu gwesteiwr o un cofnod â phorth o un arall.

Mae allweddi mewnosod yn newid sut rydych yn trin y ffeil

Gall tystysgrifau ac allweddi fod yn fewnol rhwng tagiau <ca>, <cert> a <key>, neu gael eu cyfeirio fel ffeiliau ar wahân. Mae deunydd mewnosod yn gwneud y proffil yn hunangynhaliol ac hefyd yn gyfrinach, oherwydd mae allwedd breifat y cleient yn teithio ynddo. Mae tystysgrif CA yn ddeunydd ymddiriedaeth cyhoeddus ac mae’n ddiogel ei rhannu; nid yw allwedd breifat felly, hyd yn oed pan fydd yn edrych fel bloc o destun annarllenadwy.

Mae’r cyfrinair sy’n diogelu allwedd yn gyfrinach ar wahân i gyfrinair y cyfrif, ac mae’u cymysgu yn cynhyrchu methiant dilysu sy’n edrych fel manylion mewngofnodi anghywir.

Efallai na fydd llwybrau a DNS yn dod o’r ffeil o gwbl

Gall y gweinydd wthio llwybro, gall y proffil ei osod gyda redirect-gateway, neu gellir ei adael i ragosodiadau’r cleient ei hun. Felly nid yw’r ffeil a lawrlwythoch yn pennu’n llawn i ble mae traffig yn mynd ar ôl i’r tiwnel godi. Pan fydd enwau mewnol yn datrys ac nad yw safleoedd cyhoeddus yn datrys, mae’r polisi tiwnel hollt yn gwneud yr hyn y cafodd ei gynllunio ar ei gyfer, nid yn methu.

Mae DNS yn dilyn yr un patrwm: gall dhcp-option DNS a wthiwyd gael ei gymhwyso gan y cleient, ei anwybyddu, neu ei ddiorseddu gan reolwr datryswr lleol. Gwiriwch gyflwr y datryswr ar ôl cysylltu yn hytrach na darllen y proffil eto.

Mae opsiynau heb eu cefnogi yn gwestiwn fersiwn cleient

Mae rhybuddion mewnforio fel arfer yn golygu nad yw’r cleient yn gweithredu canllaw, nid bod y ffeil wedi’i llygru. Gall cleientiaid pen-desg redeg sgriptiau a phlygiau o dan reolaethau dogfenedig, tra bod cleientiaid symudol yn derbyn set gulach ac yn gallu gollwng llinellau nad ydynt yn eu deall yn dawel. Mae gosodiad seiffr neu TLS y mae cleient hŷn yn ei wrthod yn broblem fersiwn i’w datrys gyda’r gweithredwr. Mae galluogi breintiau anghyfarwydd i orfodi mewnforiad yn cyfnewid rhybudd am arwynebedd ymosod ehangach.

Cadwch y ffeil wreiddiol i gymharu, nodwch y canllaw heb ei gefnogi yn union yn eich cais, a gofynnwch am broffil wedi’i adeiladu ar gyfer y cleient rydych yn ei redeg mewn gwirionedd.

Ar ôl unrhyw amnewidiad, cadarnhewch pa gofnod proffil y mae’r ap yn ei ddefnyddio, oherwydd nid yw mewnforio ffeil newydd bob amser yn trosysgrifo’r hen un.