Zer duen .ovpn fitxategi batek benetan, eta zer ezin duen egin
.ovpn fitxategi batek zure bezeroa konfiguratzen du, ez zerbitzaria. Ikusi zer egin dezaketen bere garraio-, gako- eta bideratze-lerroek, eta non amaitzen den haien eragina.
Jende gehienak uste du .ovpn fitxategi batek VPN bat konfiguratzen duela. Ez du hori egiten: bezero bat konfiguratzen du, eta eskatzen duen guztia jada existitu behar da beste aldean. Fitxategiko lerro bat aldatzeak zure makinak zer saiatzen duen alda dezake, ez ordea zerbitzariak zer eskaintzen duen. Bereizketa horrek argitzen du gehienbat inportatu edo konektatu ezin diren profilei buruzko nahasmena.
Irakurri fitxategia zure bezeroari zuzendutako eskaeren zerrenda gisa, eta bere lerro gehienak begi-bistakoak bihurtuko dira.
Fitxategiak zure bezeroa deskribatzen du, ez zerbitzaria
Profil batek hauek biltzen ditu: remote amaiera-puntua, garraio bat, interfaze mota bat, identitate-materiala eta operadoreak nahi duen bezero-aldeko edozein portaera. Lerro bakoitza bezeroak exekutatzen du abiaraztean. Horietako batek ere ez du zerbitzarira iristen konfigurazio-aldaketa gisa, eta batek ere ezin du jada martxan ez dagoen entzule bat sortu. TCP 443 aipatzen duen profila, UDP 1194 bakarrik entzuten duen zerbitzari baten aurka lehen paketean huts egiten du.
Horregatik jokatzen du fitxategi berak modu ezberdinean bi bezerotan: fitxategiak eskatzen du, eta bezeroak erabakitzen du eskaeraren zenbat bete dezakeen.
Garraio-lerroek jada existitzen den entzule batekin bat egin behar dute
proto eta remote lerroek zerbitzariak benetan lotzen duenarekin bat egin behar dute. UDP da ohiko aukera, galdutako datagrama batek tunela ez duelako trabatzen, TCPk sare murriztaileetan biziraun dezakeen bitartean tunelaren barruan ilararen burua blokeatzearen truke. Profil bat UDPtik TCPra aldatzeak ez du zerbitzaria TCP onartzera behartzen; bezeroa inork irakurtzen ez duen portu batera bidaltzera behartzen du soilik.
443 portua ezaguna da ia beste ezer onartzen ez duten sareak zeharkatzen dituelako, eta OpenVPN saio izaten jarraitzen du, HTTPS eskaera izan beharrean. Operadoreak hainbat remote lerro argitaratzen baditu, bezeroak ordenan probatzen ditu, eta hori hutsegiteko ordezko zerrenda da, ez karga-banaketarako erabakia. Mantendu operadoreak eman zituen konbinazioak, sarrera bateko ostalaria beste bateko portuarekin nahastu ordez.
Txertatutako gakoek fitxategiaren erabilera aldatzen dute
Ziurtagiriak eta gakoak <ca>, <cert> eta <key> etiketen artean txertatuta egon daitezke, edo fitxategi bereizi gisa erreferentziatu. Txertatutako materialak profila autosufizientea egiten du eta sekretu ere bihurtzen du, bezeroaren gako pribatua haren barruan bidaiatzen duelako. CA ziurtagiria konfiantza-material publikoa da eta segurua da partekatzea; gako pribatua ez, irakurtezina den testu-bloke bat dirudienean ere.
Gako bat babesten duen pasaesaldia kontuaren pasahitzaren sekretu bereizia da, eta biak nahasteak autentifikazio-hutsegitea eragiten du, kredentzial okerrak balira bezala agertzen dena.
Bideak eta DNS agian batere ez dira fitxategitik etorriko
Bideratzea zerbitzariak bultza dezake, profilek redirect-gateway bidez ezar dezake, edo bezeroaren berezko balio lehenetsiei utz dakieke. Beraz, deskargatutako fitxategiak ez du erabat zehazten tunela altxatu ondoren trafikoa nora joango den. Barne-izenak ebazten direnean eta gune publikoak ez, tunel zatituaren politikak egiteko diseinatu zen egiten ari da, ez da huts egiten ari.
DNSek eredu bera jarraitzen du: bultzatutako dhcp-option DNS bat bezeroak aplika dezake, ezikusi egin edo tokiko ebazle-kudeatzaile batek gainidatzi dezake. Konektatu ondoren egiaztatu ebazlearen egoera, profila berriro irakurri ordez.
Onartzen ez diren aukerak bezeroaren bertsioaren kontua dira
Inportazioko abisuek normalean esan nahi dute bezeroak ez duela direktiba bat ezartzen, ez fitxategia hondatuta dagoenik. Mahaigaineko bezeroek script eta pluginak kontrola dokumentatuen pean exekuta ditzakete, eta mugikorreko bezoek multzo estuagoa onartzen dute eta ulertzen ez dituzten lerroak isilean bazter ditzakete. Bezero zahar batek ukatzen duen zifratze- edo TLS-ezarpena bertsio-arazo da, operadorearekin konpondu beharrekoa. Baimen ezezagunak gaitzeak inportazioa behartzeko abisu bat azalera eraso zabalago baten truke aldatzen du.
Gorde jatorrizko fitxategia konparatzeko, idatzi eskaeran onartzen ez den direktiba zehatza, eta eskatu benetan exekutatzen duzun bezeroarentzat eraikitako profil bat.
Ordezkapen bat egin ondoren, egiaztatu aplikazioak zein profil-sarrera erabiltzen duen, fitxategi berri bat inportatzeak ez duelako beti zaharra gainidazten.