Qué contiene realmente un archivo .ovpn y qué no puede hacer

La mayoría de la gente supone que un archivo .ovpn configura una VPN. No es así: configura un cliente, y todo lo que pide debe existir ya en el otro lado. Cambiar una línea del archivo puede cambiar lo que intenta tu máquina, nunca lo que ofrece el servidor. Esa distinción explica la mayor parte de la confusión en torno a perfiles que no se importan o no se conectan.

Lee el archivo como una lista de peticiones dirigida a tu cliente, y la mayoría de sus líneas se vuelven obvias.

El archivo describe tu cliente, no el servidor

Un perfil reúne el punto final remote, un transporte, un tipo de interfaz, material de identidad y cualquier comportamiento del lado del cliente que quiera el operador. El cliente ejecuta cada línea al arrancar. Ninguna llega al servidor como un cambio de configuración, y ninguna puede crear un oyente que no esté ya en marcha. Un perfil que indica TCP 443 contra un servidor que solo escucha en UDP 1194 falla en el primer paquete.

Por eso el mismo archivo se comporta distinto en dos clientes: el archivo pide, y el cliente decide cuánto de la petición puede cumplir.

Las líneas de transporte deben coincidir con un oyente que ya exista

proto y remote deben coincidir con lo que el servidor enlaza realmente. UDP es la opción habitual porque un datagrama perdido no atasca el túnel, mientras que TCP puede sobrevivir a redes restrictivas a costa de bloquear la cabeza de la cola dentro del túnel. Cambiar un perfil de UDP a TCP no hace que el servidor acepte TCP; solo hace que el cliente envíe a un puerto que nadie lee.

El puerto 443 es popular porque atraviesa redes que no permiten casi nada más, y sigue siendo una OpenVPN sesión en lugar de una petición HTTPS. Si el operador publica varias remote líneas, el cliente las prueba en orden, lo que es una lista de conmutación por fallo y no una decisión de equilibrio de carga. Conserva las combinaciones que entregó el operador en vez de mezclar un host de una entrada con un puerto de otra.

Las claves incrustadas cambian cómo manejas el archivo

Los certificados y las claves pueden ir incrustados entre las etiquetas <ca>, <cert> y <key>, o referenciarse como archivos separados. El material incrustado hace que el perfil sea autosuficiente y también lo convierte en un secreto, porque la clave privada del cliente viaja dentro. Un certificado CA es material de confianza público y es seguro compartirlo; una clave privada no, ni siquiera cuando parece un bloque de texto ilegible.

La frase de contraseña que protege una clave es un secreto distinto de la contraseña de la cuenta, y confundirlos produce un fallo de autenticación que parece una credencial incorrecta.

Las rutas y el DNS pueden no venir del archivo en absoluto

El enrutamiento puede empujarlo el servidor, definirlo el perfil con redirect-gateway, o dejarse a los valores predeterminados del cliente. Por tanto, el archivo que descargaste no determina del todo adónde va el tráfico después de que el túnel se levanta. Cuando los nombres internos se resuelven y los sitios públicos no, la política de túnel dividido hace lo que se diseñó para hacer, no falla.

El DNS sigue el mismo patrón: un dhcp-option DNS empujado puede aplicarlo el cliente, ignorarlo o ser sobrescrito por un gestor de resolución local. Comprueba el estado del resolutor después de conectar en lugar de volver a leer el perfil.

Las opciones no compatibles son una cuestión de versión del cliente

Los avisos de importación suelen significar que el cliente no implementa una directiva, no que el archivo esté dañado. Los clientes de escritorio pueden ejecutar scripts y complementos bajo controles documentados, mientras que los clientes móviles aceptan un conjunto más estrecho y pueden descartar en silencio líneas que no entienden. Un ajuste de cifrado o TLS que un cliente antiguo rechaza es un problema de versión que hay que resolver con el operador. Habilitar privilegios desconocidos para forzar una importación cambia un aviso por una superficie de ataque más amplia.

Conserva el archivo original para comparar, anota la directiva no compatible exacta en tu solicitud y pide un perfil creado para el cliente que realmente ejecutas.

Tras cualquier sustitución, confirma qué entrada de perfil usa la aplicación, porque importar un archivo nuevo no siempre sobrescribe el antiguo.