OpenVPN-i profiili kaasaskantavus: kaasaskantavad võtmed vs platvormi valikud

Sama fail .ovpn avab tunnelit ühes kliendis ja ei käivitu teises, ning sertifikaat on tavaliselt esimene kahtlusalune. Sagedamini sisaldab fail direktiivi, mida rakendab ainult üks mootor. Profiil on leping konkreetse kliendiga, mitte kaasaskantav skript.

Eraldage see, mis rändab identiteediga, sellest, mis kuulub platvormile. Siis nimetab tõrge end tavaliselt ise.

Üks fail, kaks lepingut

Profiil koondab kolme liiki sisu: identiteedimaterjal, nagu CA- ja kliendisertifikaadid ning privaatvõti, transpordiandmed, nagu kaugotspunkt ja protokoll, ning käitumisdirektiivid, nagu DNS-i käsitlemine või seadmevalikud. Kaks esimest on laialdaselt kaasaskantavad mootorite vahel, mis toetavad sama protokolli. Kolmas on koht, kus rakendused lahknevad. Kogu faili käsitlemine ühe kaasaskantava üksusena tekitabki segased tõrked.

Fail, mis töötab ühe platvormi GUI-s, ei kehti automaatselt teise platvormi käsureakliendis. Isegi kui mõlemad on OpenVPN, erinevad parserid ja valikute hulgad. Seetõttu ei ole edukas import tõestus kaasaskantavast profiilist.

Kaasaskantav materjal versus platvormi direktiivid

Identiteedi- ja transporthõlmad on osa, mida tuleb säilitada. ca, cert, key ja remote kirjeldavad, kes ja kuhu ühendub, ning need tähendavad sama igale vastavale kliendile.

Käitumisdirektiivid on osa, mida tuleb võrrelda. block-outside-dns on näiteks olemas Windowsi DNS-i käitumise muutmiseks. Unixi klient ei pruugi seda üldse ära tunda.

Lugege vastuvõtva kliendi valikute loendit, mitte saatva oma. OpenVPN 2.6 viitejuhend dokumenteerib mootori valikud ja GUI impordidialoog ei ole see loend.

Lugege parseri viga enne sertifikaati

Viga, mis nimetab tundmatut valikut, on parseri tõrge, mitte autentimise tõrge. Ühendus ei jõudnud kunagi TLS-ini, seega sertifikaatide vahetamine ei aita. Lugege esimest viga tegelikust kliendist ja versioonist ning seejärel eemaldage või asendage ainult see direktiiv, mida see klient ei suuda rakendada. Sertifikaadi- või marsruudiosade kustutamine, et fail laadiks, on viis, kuidas töötavast profiilist saab ebaturvaline.

Kui viga mainib kätlust, sertifikaati või šifrit, siis profiil parsiti ja probleem on mujal.

Hoidke algne fail kohandatud faili kõrval. Kui kohandatud fail hiljem ebaõnnestub, on algne fail kontroll, mis ütleb, kas muutus või keskkond liikus.

Õigused on teine piir

Õigused on teine piir: tunneliseadme loomine, marsruutide paigaldamine ja privaatvõtme lugemine sõltuvad kõik kohalikest lubadest. Võtmefail, mida saab lugeda ainult root, on tavaline juurutus, mitte profiili viga. Parandus kuulub omandi või võimaluste juurde, mitte faili.

Kliendi käivitamine käsuga sudo võib lahendada kohaliku loakeeldumise ega saa lisada direktiivi, mida binaarfail ei rakenda. See muudab ka seda, millise kasutaja võtmerõngas, konfiguratsiooniteed ja võrguhalduri kontekst kehtivad, nii et tulemus ei ole sama test.

Kohandage teadlikult

Kui teenusepakkuja avaldab eraldi profiilid, võtke see, mis on mõeldud vastuvõtvale kliendile. Teise platvormi faili kohandamine on viimane abinõu. See nõuab iga muudetud valiku üleskirjutust ja originaali koopiat.

Testige identiteeti, marsruutimist ja DNS-i kolme eraldi tulemusena. Profiil, mis autendib ja marsruudib, kuid rikub nimeotsingu, on osaliselt kohandatud profiil, mitte töötav.