Φορητότητα προφίλ OpenVPN: φορητά κλειδιά έναντι επιλογών πλατφόρμας

Το ίδιο αρχείο .ovpn ανοίγει σήραγγα σε έναν πελάτη και αποτυγχάνει να ξεκινήσει σε άλλον, και το πιστοποιητικό είναι συνήθως ο πρώτος ύποπτος. Πιο συχνά το αρχείο περιέχει μια οδηγία που υλοποιεί μόνο μία μηχανή. Ένα προφίλ είναι σύμβαση με συγκεκριμένο πελάτη, όχι φορητό σενάριο.

Διαχωρίστε ό,τι ταξιδεύει με την ταυτότητα από ό,τι ανήκει σε μια πλατφόρμα. Τότε η αποτυχία συνήθως ονομάζεται μόνη της.

Ένα αρχείο, δύο συμβάσεις

Ένα προφίλ συγκεντρώνει τρία είδη περιεχομένου: υλικό ταυτότητας όπως πιστοποιητικά CA και πελάτη και το ιδιωτικό κλειδί, στοιχεία μεταφοράς όπως το απομακρυσμένο άκρο και το πρωτόκολλο, και οδηγίες συμπεριφοράς όπως ο χειρισμός DNS ή επιλογές συσκευής. Τα δύο πρώτα είναι ευρέως φορητά μεταξύ μηχανών που υποστηρίζουν το ίδιο πρωτόκολλο. Το τρίτο είναι εκεί όπου οι υλοποιήσεις αποκλίνουν. Το να αντιμετωπίζετε ολόκληρο το αρχείο ως μία φορητή μονάδα είναι αυτό που παράγει τις μπερδεμένες αποτυχίες.

Ένα αρχείο που λειτουργεί σε ένα GUI σε μια πλατφόρμα δεν είναι αυτόματα έγκυρο για τον πελάτη γραμμής εντολών σε άλλη. Ακόμη και όταν και τα δύο είναι OpenVPN, οι αναλυτές και τα σύνολα επιλογών διαφέρουν. Γι' αυτό μια επιτυχής εισαγωγή δεν αποτελεί απόδειξη φορητού προφίλ.

Φορητό υλικό έναντι οδηγιών πλατφόρμας

Οι ενότητες ταυτότητας και μεταφοράς είναι το μέρος που διατηρείται. Τα ca, cert, key και remote περιγράφουν ποιος συνδέεται και πού, και σημαίνουν το ίδιο για κάθε συμβατό πελάτη.

Οι οδηγίες συμπεριφοράς είναι το μέρος που συγκρίνεται. Το block-outside-dns, για παράδειγμα, υπάρχει για να αλλάζει τη συμπεριφορά DNS των Windows. Ένας πελάτης Unix μπορεί να μην το αναγνωρίζει καθόλου.

Διαβάστε τη λίστα επιλογών του πελάτη που λαμβάνει και όχι εκείνου που στέλνει. Το εγχειρίδιο αναφοράς OpenVPN 2.6 τεκμηριώνει τις επιλογές της μηχανής, και ο διάλογος εισαγωγής ενός GUI δεν είναι αυτή η λίστα.

Διαβάστε το σφάλμα του αναλυτή πριν το πιστοποιητικό

Ένα σφάλμα που ονομάζει μια μη αναγνωρισμένη επιλογή είναι αποτυχία αναλυτή, όχι αποτυχία ταυτοποίησης. Η σύνδεση δεν έφτασε ποτέ στο TLS, οπότε η αλλαγή πιστοποιητικών δεν βοηθά. Διαβάστε το πρώτο σφάλμα από τον πραγματικό πελάτη και την έκδοση και μετά αφαιρέστε ή αντικαταστήστε μόνο την οδηγία που αυτός ο πελάτης δεν μπορεί να υλοποιήσει. Η διαγραφή ενοτήτων πιστοποιητικού ή δρομολόγησης για να φορτώσει το αρχείο είναι ο τρόπος με τον οποίο ένα λειτουργικό προφίλ γίνεται ανασφαλές.

Αν το σφάλμα αναφέρει τη χειραψία, ένα πιστοποιητικό ή έναν κρυπταλγόριθμο, το προφίλ αναλύθηκε και το πρόβλημα βρίσκεται αλλού.

Κρατήστε το αρχικό αρχείο δίπλα στο προσαρμοσμένο. Όταν το προσαρμοσμένο αρχείο αποτύχει αργότερα, το αρχικό είναι ο μάρτυρας που σας λέει αν μετακινήθηκε η αλλαγή ή το περιβάλλον.

Τα προνόμια είναι δεύτερο όριο

Τα προνόμια είναι το άλλο όριο: η δημιουργία συσκευής σήραγγας, η εγκατάσταση διαδρομών και η ανάγνωση ιδιωτικού κλειδιού εξαρτώνται όλα από τοπικές άδειες. Ένα αρχείο κλειδιού αναγνώσιμο μόνο από το root είναι κανονική ανάπτυξη, όχι ελάττωμα προφίλ. Η διόρθωση ανήκει στην κυριότητα ή στις δυνατότητες, όχι στο αρχείο.

Η εκτέλεση του πελάτη με sudo μπορεί να λύσει μια τοπική άρνηση άδειας, και δεν μπορεί να προσθέσει μια οδηγία που το δυαδικό δεν υλοποιεί. Αλλάζει επίσης ποια κλειδοθήκη χρήστη, ποιες διαδρομές διαμόρφωσης και ποιο περιβάλλον διαχειριστή δικτύου ισχύουν, ώστε το αποτέλεσμα να μην είναι το ίδιο τεστ.

Προσαρμόστε σκόπιμα

Όταν ένας πάροχος δημοσιεύει ξεχωριστά προφίλ, πάρτε εκείνο που προορίζεται για τον πελάτη που λαμβάνει. Η προσαρμογή αρχείου άλλης πλατφόρμας είναι τελευταία λύση. Απαιτεί καταγραφή κάθε αλλαγμένης επιλογής και αντίγραφο του αρχικού.

Δοκιμάστε ταυτότητα, δρομολόγηση και DNS ως τρία ξεχωριστά αποτελέσματα. Ένα προφίλ που ταυτοποιείται και δρομολογεί αλλά σπάει την επίλυση ονομάτων είναι μερικώς προσαρμοσμένο προφίλ, όχι λειτουργικό.