Qué puede cambiar un perfil VPN entregado en tu dispositivo

Entregar a tu cliente un perfil VPN es entregarle una configuración escrita por otra persona, que ese programa ejecuta después en tu máquina. Importarlo puede cambiar por dónde va el tráfico cubierto, en qué par confía tu dispositivo y, en algunos formatos, qué programas locales se ejecutan cuando se levanta el túnel. El archivo no es un marcador; es un pequeño programa en un formato declarativo.

Léelo como leerías un script de shell del mismo origen.

Lo interpreta el cliente, no tú

Cada campo del archivo es una instrucción para un cliente concreto. El extremo y el protocolo deciden por dónde va el túnel, el bloque de autenticación decide qué secreto se exige y las directivas de ruta deciden qué entra en él. Los certificados o una clave privada pueden ir incrustados como bloques en lugar de referenciados como archivos, y por eso un solo archivo de texto a veces lleva todo lo necesario para suplantarte ante una puerta de enlace. Esa propiedad es la que hace tan peligroso compartir archivos sin más.

Los perfiles de OpenVPN también pueden llevar enganches de script, rutas de complementos y un nivel de seguridad que rige si esos enganches pueden ejecutarse. Esa combinación es lo que hace que un perfil desconocido merezca leerse línea por línea en vez de hacer doble clic. El cliente hará exactamente lo que dice el archivo, y lo hará con tus privilegios.

Los cambios de enrutamiento se ven tras una conexión

Un perfil de túnel completo instala rutas que lo envían todo por la puerta de enlace, mientras que un perfil de túnel dividido solo envía prefijos seleccionados. Algunos perfiles también empujan un servidor DNS, lo que cambia en silencio quién ve tus consultas. Nada de eso es malicioso por sí mismo, y nada de eso es evidente por el nombre del archivo.

Compara la tabla de enrutamiento antes y después de la primera conexión y verás la intención de un vistazo. Un perfil anunciado como acceso a una sola aplicación interna pero que instala una ruta predeterminada más amplia te está diciendo algo sobre su autor.

El material de confianza y los enganches son lo que de verdad pesa

Un perfil puede proporcionar información de confianza al cliente VPN, y un paquete de configuración de plataforma puede ir más lejos e instalar un certificado o una raíz en un almacén del sistema. Son ámbitos distintos con consecuencias distintas. El caso de ámbito de cliente afecta a la validación de una aplicación; el caso de ámbito de sistema afecta a todo lo que usa el almacén de confianza de la plataforma.

Los enganches de script y los complementos son la otra mitad. Una directiva que ejecuta un comando al conectar, o un complemento cargado en el proceso del cliente, tiene tus permisos y nada del aislamiento del cliente. Si un perfil que no pediste contiene uno, es una pregunta para quien te lo envió.

Ninguna de las dos categorías es automáticamente hostil. Los despliegues corporativos usan ambas. El punto es que cada una exige una explicación que puedas comprobar.

Verifica la procedencia y luego introduce el secreto

Establece quién emitió el archivo por un canal en el que ya confías, no por el mensaje que lo entregó. Compara los datos del extremo y del certificado con la documentación publicada por el operador. Si un perfil llegó sin pedirlo, consigue uno nuevo directamente del operador en lugar de reparar la copia que te dieron. Pregunta qué versión de cliente admite el operador, porque otro cliente puede interpretar el mismo archivo de forma distinta.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

Nunca pongas una contraseña en un campo no explicado para ver si funciona, y nunca aceptes un aviso de privilegios desconocido solo por terminar una importación. Una conexión correcta demuestra que el extremo respondió, y nada más.

Elimina la copia importada, no la descarga

Los clientes copian el perfil en su propio almacén, así que borrar el archivo descargado deja activa la conexión importada. Elimínala desde la interfaz del propio cliente y comprueba que también ha desaparecido cualquier certificado añadido durante la importación. Después confirma que las rutas que instaló también han desaparecido.

Si se instaló un certificado a escala de sistema, eliminar el perfil no basta. Esa limpieza corresponde a la gestión de confianza de la plataforma, y merece hacerse a propósito en vez de esperar que el próximo reinicio se encargue de ella.