Mida .ovpn-fail tegelikult sisaldab ja mida see teha ei saa

Enamik inimesi eeldab, et .ovpn-fail seadistab VPN-i. See ei tee seda: see seadistab ühe kliendi ja kõik, mida see nõuab, peab juba teisel pool olema. Failis rea muutmine võib muuta seda, mida sinu masin proovib, mitte kunagi seda, mida server pakub. See erinevus seletab suuremat osa segadusest profiilide ümber, mida ei õnnestu importida ega ühendada.

Loe faili sinu kliendile adresseeritud taotluste loendina ja enamik selle ridu muutub ilmseks.

Fail kirjeldab sinu klienti, mitte serverit

Profiil hõlmab remote-lõpp-punkti, transporti, liidese tüübi, identiteedimaterjali ja kõik kliendipoolse käitumise, mida operaator soovib. Iga rida täidab klient käivitamisel. Ükski neist ei jõua serverisse konfiguratsioonimuudatusena ja ükski ei saa luua kuulajat, mis juba ei tööta. Profiil, mis nimetab TCP 443 serveri vastu, mis kuulab ainult UDP 1194-l ebaõnnestub juba esimese paketiga.

Seetõttu käitub sama fail kahes kliendis erinevalt: fail palub ja klient otsustab, kui suure osa taotlusest ta suudab täita.

Transpordiread peavad vastama kuulajale, mis juba olemas on

proto ja remote read peavad vastama sellele, mida server tegelikult seob. UDP on tavaline valik, sest kaotatud datagramm ei tõkesta tunnelit, samas kui TCP suudab piiratud võrkudes vastu pidada, makstes tunnelis sees järjekorra pea blokeerimisega. Profiili lülitamine UDP-lt TCP-le ei pane serverit TCP-d vastu võtma; see paneb ainult kliendi saatma porti, mida keegi ei loe.

Port 443 on populaarne, sest see läbib võrke, mis ei luba peaaegu midagi muud, ja see jääb OpenVPN istungiks, mitte HTTPS-päringuks. Kui operaator avaldab mitu remote rida, proovib klient neid järjest, mis on tõrke korral ümberlülitamise loend, mitte koormuse tasakaalustamise otsus. Hoia operaatori antud kombinatsioonid, selle asemel et segada ühe kirje hosti teise kirje pordiga.

Manustatud võtmed muudavad seda, kuidas faili käsitleda

Sertifikaadid ja võtmed võivad olla manustatud siltide <ca>, <cert> ja <key> vahele või viidatud eraldi failidena. Manustatud materjal muudab profiili iseseisvaks ja teeb sellest ka saladuse, sest kliendi privaatvõti reisib selle sees. CA-sertifikaat on avalik usaldusmaterjal ja seda on turvaline jagada; privaatvõti ei ole, isegi kui see näeb välja nagu loetamatu tekstiplokk.

Võtit kaitsv parool on konto paroolist eraldi saladus ja nende segamine tekitab autentimisvea, mis näeb välja nagu vale mandaat.

Marsruudid ja DNS ei pruugi failist üldse tulla

Marsruutimist võib server peale suruda, profiil saab selle määrata redirect-gateway abil või see võib jääda kliendi enda vaikeväärtusteks. Seega ei määra allalaaditud fail täielikult, kuhu liiklus pärast tunneli püstitamist läheb. Kui sisemised nimed lahenevad ja avalikud saidid mitte, teeb poolitatud tunneli poliitika seda, milleks see loodi, ega ebaõnnestu.

DNS järgib sama mustrit: peale surutud dhcp-option DNS võib klient rakendada, ignoreerida või kohalik resoluuteri haldur selle üle kirjutada. Kontrolli pärast ühendamist resoluuteri olekut, selle asemel et profiili uuesti lugeda.

Toetamata valikud on kliendi versiooni küsimus

Impordi hoiatused tähendavad tavaliselt, et klient ei rakenda direktiivi, mitte et fail on rikutud. Töölauakliendid saavad dokumenteeritud kontrolli all skripte ja pistikprogramme käivitada, mobiilikliendid aga võtavad vastu kitsama kogumi ja võivad vaikselt ära jätta ridu, millest nad aru ei saa. Šifri või TLS-i seade, mille vanem klient tagasi lükkab, on versiooniprobleem, mida tuleb operaatoriga lahendada. Võõraste õiguste lubamine impordi jõustamiseks vahetab hoiatuse laiema ründepinna vastu.

Hoia originaalfail võrdlemiseks alles, märgi oma taotluses täpne toetamata direktiiv ja küsi profiili, mis on ehitatud kliendile, mida sa tegelikult kasutad.

Pärast igasugust asendamist kinnita, millist profiilikannet rakendus kasutab, sest uue faili importimine ei kirjuta vana alati üle.