Portebleco de OpenVPN-profiloj: porteblaj ŝlosiloj kontraŭ platformaj elektoj

La sama dosiero .ovpn malfermas tunelon en unu kliento kaj malsukcesas ekfunkcii en alia, kaj la atestilo estas kutime la unua suspektato. Pli ofte la dosiero enhavas direktivon, kiun efektivigas nur unu motoro. Profilo estas kontrakto kun specifa kliento, ne portebla skripto.

Apartigu tion, kio vojaĝas kun la identeco, de tio, kio apartenas al platformo. Tiam la fiasko kutime nomiĝas mem.

Unu dosiero, du kontraktoj

Profilo kunigas tri specojn de enhavo: identiga materialo kiel CA- kaj klientaj atestiloj kaj la privata ŝlosilo, transportaj faktoj kiel la fora finpunkto kaj la protokolo, kaj kondutaj direktivoj kiel DNS-traktado aŭ aparataj elektoj. La unuaj du estas grandskale porteblaj inter motoroj, kiuj subtenas la saman protokolon. La tria estas kie la efektivigoj malkongruas. Trakti la tutan dosieron kiel unu porteblan unuon estas tio, kio produktas la konfuzajn fiaskojn.

Dosiero, kiu funkcias en GUI sur unu platformo, ne aŭtomate validas por la komandlinia kliento sur alia. Eĉ kiam ambaŭ estas OpenVPN, la analiziloj kaj la elektoaroj malsamas. Tial sukcesa importo ne estas pruvo de portebla profilo.

Portebla materialo kontraŭ platformaj direktivoj

La sekcioj de identeco kaj transporto estas la parto konservenda. ca, cert, key kaj remote priskribas, kiu konektiĝas kaj kien, kaj ili signifas la samon por ĉiu konforma kliento.

Kondutaj direktivoj estas la parto komparinda. block-outside-dns, ekzemple, ekzistas por ŝanĝi la DNS-konduton de Windows. Unix-kliento eble tute ne rekonas ĝin.

Legu la elektoliston de la ricevanta kliento, ne de la sendanta. La OpenVPN 2.6 referenca manlibro dokumentas la elektojn de la motoro, kaj la importa dialogo de GUI ne estas tiu listo.

Legu la analizilan eraron antaŭ la atestilo

Eraro, kiu nomas nerekonitan elekton, estas analizila fiasko, ne aŭtentiga fiasko. La konekto neniam atingis TLS, do ŝanĝi atestilojn ne povas helpi. Legu la unuan eraron de la reala kliento kaj versio, poste forigu aŭ anstataŭigu nur la direktivon, kiun tiu kliento ne povas efektivigi. Forigi atestilajn aŭ itinerajn sekciojn por ke la dosiero ŝargiĝu estas kiel funkcianta profilo iĝas nesekura.

Se la eraro mencias la manpremon, atestilon aŭ ĉifron, la profilo analiziĝis kaj la problemo estas aliloke.

Konservu la originalan dosieron apud la adaptita. Kiam la adaptita dosiero poste fiaskas, la originalo estas la kontrolo, kiu diras al vi, ĉu la ŝanĝo aŭ la medio moviĝis.

Privilegioj estas dua limo

Privilegioj estas la alia limo: krei tunelan aparaton, instali itinerojn kaj legi privatan ŝlosilon ĉiuj dependas de lokaj permesoj. Ŝlosila dosiero legebla nur de root estas normala deplojo, ne profila difekto. La riparo apartenas al posedeco aŭ kapabloj, ne al la dosiero.

Ruli la klienton kun sudo povas solvi lokan permesan rifuzon, kaj ĝi ne povas aldoni direktivon, kiun la binaraĵo ne efektivigas. Ĝi ankaŭ ŝanĝas, kies ŝlosilaro, agordaj vojoj kaj retadministrila kunteksto validas, do la rezulto ne estas la sama testo.

Adaptu konscie

Kiam provizanto publikigas apartajn profilojn, prenu tiun destinatan por la ricevanta kliento. Adapti dosieron de alia platformo estas lasta rimedo. Ĝi bezonas registron de ĉiu ŝanĝita elekto kaj kopion de la originalo.

Testu identecon, itineradon kaj DNS kiel tri apartajn rezultojn. Profilo, kiu aŭtentikas kaj itineras sed rompas nomrezolvon, estas parte adaptita profilo, ne funkcianta.