OpenVPN-profiilin siirrettävyys: siirrettävät avaimet vai alustan asetukset

Sama .ovpn-tiedosto avaa tunnelin yhdessä asiakasohjelmassa ja epäonnistuu käynnistymisessä toisessa, ja varmenne on yleensä ensimmäinen epäilty. Useammin tiedosto sisältää direktiivin, jonka vain yksi moottori toteuttaa. Profiili on sopimus tietyn asiakasohjelman kanssa, ei siirrettävä skripti.

Erota se, mikä kulkee identiteetin mukana, siitä, mikä kuuluu alustalle. Silloin virhe yleensä nimeää itsensä.

Yksi tiedosto, kaksi sopimusta

Profiili kokoaa kolmenlaista sisältöä: identiteettimateriaali, kuten CA- ja asiakasvarmenteet ja yksityinen avain, siirtotiedot, kuten etäpäätepiste ja protokolla, sekä käyttäytymisdirektiivit, kuten DNS-käsittely tai laiteasetukset. Kaksi ensimmäistä ovat laajalti siirrettävissä moottorien välillä, jotka tukevat samaa protokollaa. Kolmas on kohta, jossa toteutukset eroavat. Koko tiedoston käsitteleminen yhtenä siirrettävänä yksikkönä tuottaa juuri ne hämmentävät virheet.

Tiedosto, joka toimii yhden alustan käyttöliittymässä, ei ole automaattisesti kelvollinen toisen alustan komentoriviasiakkaalle. Vaikka molemmat olisivat OpenVPN, jäsentimet ja asetusjoukot eroavat. Siksi onnistunut tuonti ei ole todiste siirrettävästä profiilista.

Siirrettävä materiaali vastaan alustadirektiivit

Identiteetti- ja siirto-osiot ovat se osa, joka säilytetään. ca, cert, key ja remote kuvaavat, kuka yhdistää ja minne, ja ne tarkoittavat samaa jokaiselle yhteensopivalle asiakasohjelmalle.

Käyttäytymisdirektiivit ovat se osa, jota verrataan. block-outside-dns on esimerkiksi olemassa Windowsin DNS-käyttäytymisen muuttamiseksi. Unix-asiakasohjelma ei välttämättä tunnista sitä lainkaan.

Lue vastaanottavan asiakasohjelman asetusluettelo lähettävän sijaan. OpenVPN 2.6 -viiteopas dokumentoi moottorin asetukset, eikä käyttöliittymän tuontivalintaikkuna ole tuo luettelo.

Lue jäsentimen virhe ennen varmennetta

Virhe, joka nimeää tuntemattoman asetuksen, on jäsentimen virhe, ei todennuksen virhe. Yhteys ei koskaan saavuttanut TLS:ää, joten varmenteiden vaihtaminen ei auta. Lue ensimmäinen virhe todellisesta asiakasohjelmasta ja versiosta ja poista tai korvaa sitten vain se direktiivi, jota kyseinen asiakasohjelma ei pysty toteuttamaan. Varmenteiden tai reittiosioiden poistaminen, jotta tiedosto latautuisi, on tapa, jolla toimivasta profiilista tulee turvaton.

Jos virhe mainitsee kättelyn, varmenteen tai salauksen, profiili jäsennettiin ja ongelma on muualla.

Säilytä alkuperäinen tiedosto mukautetun vieressä. Kun mukautettu tiedosto myöhemmin epäonnistuu, alkuperäinen on vertailukohta, joka kertoo, liikkuiko muutos vai ympäristö.

Käyttöoikeudet ovat toinen raja

Käyttöoikeudet ovat toinen raja: tunnelilaitteen luominen, reittien asentaminen ja yksityisen avaimen lukeminen riippuvat kaikki paikallisista oikeuksista. Avaintiedosto, jonka vain root voi lukea, on normaali käyttöönotto, ei profiilin vika. Korjaus kuuluu omistajuuteen tai valtuuksiin, ei tiedostoon.

Asiakasohjelman suorittaminen sudo-komennolla voi ratkaista paikallisen käyttöoikeuskiellon, eikä se voi lisätä direktiiviä, jota binääri ei toteuta. Se myös muuttaa sitä, kenen avainrenkaan, asetusten polut ja verkonhallinnan konteksti ovat voimassa, joten tulos ei ole sama testi.

Mukauta harkiten

Kun palveluntarjoaja julkaisee erilliset profiilit, ota vastaanottavalle asiakasohjelmalle tarkoitettu. Toisen alustan tiedoston mukauttaminen on viimeinen keino. Se vaatii merkinnän jokaisesta muutetusta asetuksesta ja kopion alkuperäisestä.

Testaa identiteetti, reititys ja DNS kolmena erillisenä tuloksena. Profiili, joka todennetaan ja reitittää mutta rikkoo nimien selvityksen, on osittain mukautettu profiili, ei toimiva.