Τι περιέχει πραγματικά ένα αρχείο .ovpn και τι δεν μπορεί να κάνει

Οι περισσότεροι άνθρωποι υποθέτουν ότι ένα αρχείο .ovpn ρυθμίζει ένα VPN. Δεν το κάνει: ρυθμίζει έναν πελάτη και ό,τι ζητά πρέπει να υπάρχει ήδη στην άλλη πλευρά. Η αλλαγή μιας γραμμής στο αρχείο μπορεί να αλλάξει τι επιχειρεί το μηχάνημά σας, ποτέ τι προσφέρει ο διακομιστής. Αυτή η διάκριση εξηγεί το μεγαλύτερο μέρος της σύγχυσης γύρω από προφίλ που αποτυγχάνουν να εισαχθούν ή να συνδεθούν.

Διαβάστε το αρχείο ως λίστα αιτημάτων που απευθύνονται στον πελάτη σας και οι περισσότερες γραμμές του θα γίνουν προφανείς.

Το αρχείο περιγράφει τον πελάτη σας, όχι τον διακομιστή

Ένα προφίλ συνδυάζει το τελικό σημείο remote, μια μεταφορά, έναν τύπο διεπαφής, υλικό ταυτότητας και οποιαδήποτε συμπεριφορά από την πλευρά του πελάτη θέλει ο φορέας. Κάθε γραμμή εκτελείται από τον πελάτη κατά την εκκίνηση. Καμία από αυτές δεν φτάνει στον διακομιστή ως αλλαγή διαμόρφωσης και καμία δεν μπορεί να δημιουργήσει έναν ακροατή που δεν εκτελείται ήδη. Ένα προφίλ που ονομάζει TCP 443 απέναντι σε διακομιστή που ακούει μόνο σε UDP 1194 αποτυγχάνει στο πρώτο πακέτο.

Γι’ αυτό επίσης το ίδιο αρχείο συμπεριφέρεται διαφορετικά σε δύο πελάτες: το αρχείο ζητά και ο πελάτης αποφασίζει πόσο από το αίτημα μπορεί να εκπληρώσει.

Οι γραμμές μεταφοράς πρέπει να ταιριάζουν με έναν ακροατή που υπάρχει ήδη

proto και remote πρέπει να συμφωνούν με αυτό που δεσμεύει στην πραγματικότητα ο διακομιστής. Το UDP είναι η συνήθης επιλογή επειδή ένα χαμένο αυτοδύναμο πακέτο δεν κολλάει το τούνελ, ενώ το TCP μπορεί να επιβιώσει σε περιοριστικά δίκτυα με κόστος τον αποκλεισμό της κεφαλής της ουράς μέσα στο τούνελ. Η αλλαγή ενός προφίλ από UDP σε TCP δεν κάνει τον διακομιστή να δεχτεί TCP· κάνει μόνο τον πελάτη να στέλνει σε μια θύρα που κανείς δεν διαβάζει.

Η θύρα 443 είναι δημοφιλής επειδή περνά από δίκτυα που δεν επιτρέπουν σχεδόν τίποτα άλλο, και παραμένει συνεδρία OpenVPN και όχι αίτημα HTTPS. Αν ο φορέας δημοσιεύει πολλές remote γραμμές, ο πελάτης τις δοκιμάζει με σειρά, που είναι λίστα εναλλαγής σε αποτυχία και όχι απόφαση εξισορρόπησης φορτίου. Κρατήστε τους συνδυασμούς που παρέδωσε ο φορέας αντί να αναμειγνύετε κεντρικό υπολογιστή από μια καταχώριση με θύρα από άλλη.

Τα ενσωματωμένα κλειδιά αλλάζουν τον τρόπο που χειρίζεστε το αρχείο

Τα πιστοποιητικά και τα κλειδιά μπορούν να βρίσκονται ενσωματωμένα ανάμεσα στις ετικέτες <ca>, <cert> και <key>, ή να αναφέρονται ως ξεχωριστά αρχεία. Το ενσωματωμένο υλικό κάνει το προφίλ αυτοτελές και επίσης το καθιστά μυστικό, επειδή το ιδιωτικό κλειδί του πελάτη ταξιδεύει μέσα του. Ένα πιστοποιητικό CA είναι δημόσιο υλικό εμπιστοσύνης και είναι ασφαλές να μοιράζεται· ένα ιδιωτικό κλειδί δεν είναι, ακόμη και όταν μοιάζει με δυσανάγνωστο μπλοκ κειμένου.

Η φράση πρόσβασης που προστατεύει ένα κλειδί είναι ξεχωριστό μυστικό από τον κωδικό πρόσβασης του λογαριασμού και η σύγχυσή τους παράγει αποτυχία ελέγχου ταυτότητας που μοιάζει με λάθος διαπιστευτήρια.

Οι διαδρομές και το DNS μπορεί να μην προέρχονται καθόλου από το αρχείο

Η δρομολόγηση μπορεί να προωθηθεί από τον διακομιστή, να οριστεί από το προφίλ με redirect-gateway, ή να αφεθεί στις προεπιλογές του ίδιου του πελάτη. Επομένως το αρχείο που κατεβάσατε δεν καθορίζει πλήρως πού πηγαίνει η κίνηση αφού σηκωθεί το τούνελ. Όταν τα εσωτερικά ονόματα επιλύονται και οι δημόσιες τοποθεσίες όχι, η πολιτική διαχωρισμένου τούνελ κάνει αυτό για το οποίο σχεδιάστηκε, δεν αποτυγχάνει.

Το DNS ακολουθεί το ίδιο μοτίβο: ένα προωθημένο dhcp-option DNS μπορεί να εφαρμοστεί από τον πελάτη, να αγνοηθεί ή να υπερισχυθεί από έναν τοπικό διαχειριστή επιλυτή. Ελέγξτε την κατάσταση του επιλυτή μετά τη σύνδεση αντί να διαβάσετε ξανά το προφίλ.

Οι μη υποστηριζόμενες επιλογές είναι ζήτημα έκδοσης πελάτη

Οι προειδοποιήσεις εισαγωγής συνήθως σημαίνουν ότι ο πελάτης δεν υλοποιεί μια οδηγία, όχι ότι το αρχείο είναι κατεστραμμένο. Οι πελάτες επιφάνειας εργασίας μπορούν να εκτελούν σενάρια και πρόσθετα υπό τεκμηριωμένους ελέγχους, ενώ οι κινητοί πελάτες δέχονται στενότερο σύνολο και μπορεί να απορρίπτουν σιωπηλά γραμμές που δεν καταλαβαίνουν. Μια ρύθμιση κρυπτογράφησης ή TLS που ένας παλαιότερος πελάτης αρνείται είναι πρόβλημα έκδοσης που λύνεται με τον φορέα. Η ενεργοποίηση άγνωστων δικαιωμάτων για να εξαναγκαστεί μια εισαγωγή ανταλλάσσει μια προειδοποίηση με ευρύτερη επιφάνεια επίθεσης.

Κρατήστε το αρχικό αρχείο για σύγκριση, σημειώστε την ακριβή μη υποστηριζόμενη οδηγία στο αίτημά σας και ζητήστε ένα προφίλ φτιαγμένο για τον πελάτη που εκτελείτε πραγματικά.

Μετά από οποιαδήποτε αντικατάσταση, επιβεβαιώστε ποια καταχώριση προφίλ χρησιμοποιεί η εφαρμογή, επειδή η εισαγωγή νέου αρχείου δεν αντικαθιστά πάντα το παλιό.