.ovpn-faili importimine: mida see paigaldab ja mida mitte

Importisite profiili, klient teatab ühendusest ja süsteemi sertifikaatide loend näeb välja täpselt nagu enne. See on oodatud tulemus, mitte ebaõnnestunud import. .ovpn-fail on tekstikonfiguratsioon, mis ütleb ühilduvale OpenVPN-kliendile, kuidas serverini jõuda ja kuidas autentida, ning see ei kirjuta kunagi midagi seadme usaldushoidlasse. Sellest segadusest tuleneb kaks viga: oodata, et ilmub natiivne VPN-tüüp, ja järeldada, et import ebaõnnestus, sest ükski sertifikaat ei ilmunud.

Usk, et import paigaldab sertifikaadi

Profiil võib sertifikaadimaterjali manustatult kanda, ja sealt see idee tulebki: tekstilõik nurksulgude vahel näeb välja nagu paigaldus. Klient sõelub selle hoopis konfiguratsioonina ja annab sertifikaadi oma TLS-kihile, mitte operatsioonisüsteemile. Seadme usaldusseadetesse ei lisata midagi ja midagi ei peakski lisama. Fail kirjeldab ühendust, samas kui usaldushoidla kirjeldab, keda on seade valmis uskuma.

Profiil on kasutu ka ilma privaatvõtmeta, millele see viitab, mis on veel üks põhjus, miks see ei ole sertifikaat. Hankige fail operaatori kinnitatud kanalist ja käsitlege seda tundlikuna, sest see võib manustada teile kuuluvat identiteedimaterjali. Kui kaotate võtme, muutub profiil ühenduse kirjelduseks, mida te ei saa luua.

Avage fail nii, nagu klient seda dokumenteerib

Kasutage kliendi dokumenteeritud failiimporti valikut, selle asemel et laiendit ümber nimetada või teksti kõrvalisse VPN-dialoogi kleepida. Mõned tooted aktsepteerivad ka URL-i või pakitud arhiivi, ja need on eraldi toetatud meetodid oma tõrkemustritega. Kui sertifikaadid või võtmed saabuvad eraldi failidena, uurige enne millegi liigutamist, kuidas klient neid vastu võtta soovib. Kui kopeerite ainult .ovpn-teksti teise masinasse, jääb iga viidatud tee osutama failile, mida seal pole, ja saadav viga räägib puuduvast failist, mitte puuduvast impordist.

See on kaasaskantavuse lõks ühes lauses: tekst rändab ja viited mitte. Paigutage viidatud failid kliendi dokumenteeritud paigutusse või teisendage profiil manustatud kujule, kui klient seda toetab.

Manustatud materjal versus viidatud failid

Manustatud profiil kannab CA, sertifikaadi ja võtme faili sees, nii et see on iseseisev ja kaasaskantav, aga ka üks objekt, mida tuleb kaitsta sama hoolikalt kui võtit selle sees. Viidatud profiil nimetab kettal olevaid teid, mis töötab ainult seal, kus need teed on olemas ja kus kliendil on luba neid lugeda. Ühe vormi liigutamine ilma teiseta on tavaline kaasaskantavuse tõrge ja see ilmneb TLS-veana, mitte impordiveana. Kumbki vorm ei muuda turvamudelit, sest klient valideerib endiselt serverit ja vajab endiselt kasutatavat privaatvõtit.

Profiil, mis lülitab kontrollimise välja, et import õnnestuks, on vahetanud kontrolli edasimineku näivuse vastu. Pange säte tagasi enne, kui ühendute millegi päriselt toimivaga.

Tagasilükatud direktiiv on kliendi sobimatus

Direktiivi, mida töölauaklient aktsepteerib, võib mobiilikliient või lihtsustatud töölauaversioon tagasi lükata, ja skriptikonksud, marsruutimiskäsud ning mõned transpordivalikud kuuluvad sellesse kategooriasse. Klient ei ole tüütu; ta keeldub käivitamast juhiseid, mida ei suuda jõustada. Impordivead nimetavad tavaliselt direktiivi, ja see nimi on palju kasulikum kui üldine teade, et import pole võimalik. Otsige see nimi kliendi enda dokumentatsioonist enne, kui profiili üldse muudate.

Ärge eemaldage serveri kontrollimist ja ärge lülitage sisse tundmatut skriptimist ainult selleks, et import läbi läheks. Leidke kas klient, mis direktiivi toetab, või küsige operaatorilt profiil, mis on kirjutatud kliendile, mida te tegelikult kasutate. Rea eemaldamine vea vaigistamiseks muudab seda, mida ühendus garanteerib, ja see muudatus elab impordist kauem.

Kontrollige kirjet, mille te tegelikult käivitate

Miski ei garanteeri, et äsja alla laaditud fail asendas eelmisel kuul imporditud koopia, seega kinnitage enne ühendamist valitud profiili nimi ja selle serveri andmed. Pärast ühendamist testige ressurssi, mida tegelikult vajate, ja uurige marsruutimise ning DNS-i käitumist, sest lõpetatud ühendus on alles esimene etapp. Kui profiil lükatakse tagasi, hoidke alles täpne imporditeade ja kliendi versioon, sest see on teine probleem kui profiil, mis imporditakse ja seejärel ei jõua oma serverini. OpenVPNi käsiraamat dokumenteerib direktiivid, mida profiil võib sisaldada, ja see on viide, mida tuleb enne muutmist kontrollida.

Kui asendus töötab, eemaldage vana kirje kliendi enda eemaldamisjuhtimisega. Faili kustutamine Allalaadimistest jätab rakenduses salvestatud ühenduse puutumata. Lõpetage, märkides üles, milline profiili nimi on aktiivne, et järgmine inimene ei ühenduks koopia kaudu, mille kavatsesite eemaldada.