Importar un archivo .ovpn: qué instala y qué no

Ha importado el perfil, el cliente informa de que está conectado y la lista de certificados del sistema se ve exactamente igual que antes. Ese es el resultado esperado, no una importación fallida. Un archivo .ovpn es una configuración de texto que indica a un cliente OpenVPN compatible cómo llegar a un servidor y cómo autenticarse, y nunca escribe nada en el almacén de confianza del dispositivo. De esa confusión se derivan dos errores: esperar que aparezca un tipo de VPN nativo y concluir que la importación falló porque no apareció ningún certificado.

La creencia de que una importación instala un certificado

El perfil puede llevar el material del certificado en línea, y de ahí viene la idea: un bloque de texto entre corchetes angulares parece una instalación. El cliente lo analiza como configuración y entrega el certificado a su propia capa TLS en lugar de al sistema operativo. No se añade nada a la configuración de confianza del dispositivo, y no debería añadirse nada. El archivo describe una conexión, mientras que el almacén de confianza describe en quién está dispuesto a creer el dispositivo.

El perfil también es inútil sin la clave privada a la que hace referencia, que es otra razón por la que no es un certificado. Obtenga el archivo del canal verificado del operador y trátelo como sensible, porque puede incrustar material de identidad que le pertenece. Si pierde la clave, el perfil se convierte en la descripción de una conexión que no puede realizar.

Abra el archivo tal como lo documenta el cliente

Utilice la opción de importación de archivos documentada por el cliente en lugar de cambiar la extensión o pegar el texto en un diálogo de VPN que no tiene relación. Algunos productos también aceptan una URL o un archivo empaquetado, y son métodos admitidos distintos con sus propias formas de fallo. Si los certificados o las claves llegan como archivos separados, averigüe cómo espera recibirlos el cliente antes de mover nada. Copiar solo el texto .ovpn a una segunda máquina deja cada ruta referenciada apuntando a un archivo que no está allí, y el error que reciba hablará de un archivo ausente en lugar de una importación ausente.

Esa es la trampa de la portabilidad en una línea: el texto viaja y las referencias no. Coloque los archivos referenciados en la disposición que documenta el cliente, o convierta el perfil a la forma en línea si el cliente lo admite.

Material en línea frente a archivos referenciados

Un perfil en línea lleva la CA, el certificado y la clave dentro del archivo, así que es autónomo y portátil, pero también un único objeto que hay que proteger con el mismo cuidado que la clave que contiene. Un perfil referenciado nombra rutas en el disco, lo que solo funciona donde esas rutas existen y donde el cliente tiene permiso para leerlas. Mover una forma sin la otra es el fallo de portabilidad habitual, y se manifiesta como un error de TLS en lugar de un error de importación. Ninguna de las dos formas cambia el modelo de seguridad, porque el cliente sigue validando el servidor y sigue necesitando una clave privada utilizable.

Un perfil que desactiva la verificación para que la importación funcione ha cambiado la comprobación por la apariencia de avance. Vuelva a poner la configuración antes de conectarse a algo real.

Una directiva rechazada es un desajuste del cliente

Una directiva que un cliente de escritorio acepta puede ser rechazada por un cliente móvil o una compilación de escritorio simplificada, y los ganchos de script, los comandos de enrutamiento y algunas opciones de transporte entran en esa categoría. El cliente no es difícil; se niega a ejecutar instrucciones que no puede imponer. Los errores de importación suelen nombrar la directiva, y ese nombre es mucho más útil que un mensaje general de que no se puede importar. Busque ese nombre en la documentación del propio cliente antes de editar el perfil.

No elimine la verificación del servidor ni active scripts desconocidos solo para que la importación pase. O bien encuentre un cliente que admita la directiva, o bien pida al operador un perfil escrito para el cliente que realmente ejecuta. Quitar una línea para silenciar un error cambia lo que garantiza la conexión, y ese cambio sobrevive a la importación.

Compruebe la entrada que realmente inicia

Nada garantiza que el archivo que acaba de descargar haya reemplazado la copia importada el mes pasado, así que confirme el nombre del perfil seleccionado y los datos de su servidor antes de conectarse. Después de conectarse, pruebe el recurso que realmente necesita e inspeccione el comportamiento de enrutamiento y DNS, porque una conexión completada es solo la primera etapa. Si el perfil se rechaza, guarde el mensaje exacto de importación y la versión del cliente, porque es un problema distinto del de un perfil que se importa y luego no llega a su servidor. El manual de OpenVPN documenta las directivas que puede contener un perfil, y esa es la referencia que hay que consultar antes de editar uno.

Cuando el reemplazo funcione, retire la entrada antigua con el control de eliminación del propio cliente. Eliminar el archivo de Descargas deja intacta la conexión guardada dentro de la aplicación. Termine anotando qué nombre de perfil está activo, para que la siguiente persona no se conecte a través de la copia que pretendía retirar.