Mitä .ovpn-tiedosto oikeastaan sisältää ja mitä se ei voi tehdä

Useimmat ihmiset olettavat, että .ovpn-tiedosto määrittää VPN:n. Se ei tee niin: se määrittää yhden asiakasohjelman, ja kaiken, mitä se pyytää, täytyy olla jo olemassa toisella puolella. Rivin muuttaminen tiedostossa voi muuttaa sitä, mitä koneesi yrittää, ei koskaan sitä, mitä palvelin tarjoaa. Tämä ero selittää suurimman osan sekaannuksesta profiilien ympärillä, joita ei voi tuoda tai yhdistää.

Lue tiedosto asiakasohjelmallesi osoitettuna pyyntöluettelona, niin useimmat sen rivit käyvät ilmeisiksi.

Tiedosto kuvaa asiakasohjelmasi, ei palvelinta

Profiili kokoaa remote-päätepisteen, siirtotavan, liitäntätyypin, identiteettimateriaalin ja kaiken asiakaspuolen toiminnan, jonka operaattori haluaa. Asiakasohjelma suorittaa jokaisen rivin käynnistyksessä. Mikään niistä ei saavu palvelimelle kokoonpanomuutoksena, eikä mikään voi luoda kuuntelijaa, joka ei jo toimi. Profiili, joka nimeää TCP 443:n palvelinta vastaan, joka kuuntelee vain UDP 1194:tä epäonnistuu ensimmäisessä paketissa.

Siksi sama tiedosto käyttäytyy eri tavoin kahdessa asiakasohjelmassa: tiedosto pyytää, ja asiakasohjelma päättää, kuinka paljon pyynnöstä se voi täyttää.

Siirtorivien täytyy vastata kuuntelijaa, joka on jo olemassa

proto ja remote rivien täytyy vastata sitä, mihin palvelin todella sitoutuu. UDP on tavallinen valinta, koska kadonnut datagrammi ei pysäytä tunnelia, kun taas TCP voi selvitä rajoittavista verkoista tunnelin sisäisen jonon pään estymisen kustannuksella. Profiilin vaihtaminen UDP:stä TCP:hen ei saa palvelinta hyväksymään TCP:tä; se saa asiakasohjelman lähettämään porttiin, jota kukaan ei lue.

Portti 443 on suosittu, koska se läpäisee verkkoja, jotka eivät salli juuri muuta, ja se pysyy OpenVPN-istuntona eikä HTTPS-pyyntönä. Jos operaattori julkaisee useita remote rivejä, asiakasohjelma kokeilee niitä järjestyksessä, mikä on vikasietoluettelo eikä kuormanjakopäätös. Säilytä operaattorin toimittamat yhdistelmät sen sijaan, että sekoittaisit yhden merkinnän isäntänimen toisen porttiin.

Upotetut avaimet muuttavat tapaa käsitellä tiedostoa

Varmenteet ja avaimet voivat olla upotettuina <ca>, <cert> ja <key> -tunnisteiden väliin tai niihin voidaan viitata erillisinä tiedostoina. Upotettu materiaali tekee profiilista itsenäisen ja myös salaisuuden, koska asiakasohjelman yksityinen avain kulkee sen sisällä. CA-varmente on julkista luottamusmateriaalia ja sen jakaminen on turvallista; yksityinen avain ei ole, vaikka se näyttäisi lukukelvottomalta tekstilohkolta.

Avainta suojaava salasana on erillinen salaisuus kuin tilin salasana, ja niiden sekoittaminen tuottaa todennusvirheen, joka näyttää vääriltä tunnistetietoilta.

Reitit ja DNS eivät välttämättä tule tiedostosta lainkaan

Palvelin voi työntää reitityksen, profiili voi asettaa sen redirect-gateway avulla tai se voi jäädä asiakasohjelman omiin oletuksiin. Ladattu tiedosto ei siis täysin määritä, minne liikenne menee, kun tunneli nousee pystyyn. Kun sisäiset nimet ratkeavat ja julkiset sivustot eivät, jaetun tunnelin käytäntö tekee sen, mihin se suunniteltiin, eikä epäonnistu.

DNS seuraa samaa kaavaa: työnnetyn dhcp-option DNS voi asiakasohjelma ottaa käyttöön, jättää huomiotta tai paikallinen ratkaisijan hallinta voi ohittaa sen. Tarkista ratkaisijan tila yhdistämisen jälkeen sen sijaan, että lukisit profiilin uudelleen.

Tukemattomat asetukset ovat asiakasohjelman versiokysymys

Tuontivaroitukset tarkoittavat yleensä, että asiakasohjelma ei toteuta direktiiviä, ei sitä että tiedosto olisi vioittunut. Työpöytäasiakkaat voivat ajaa skriptejä ja liitännäisiä dokumentoiduissa rajoissa, kun taas mobiiliasiakkaat hyväksyvät kapeamman joukon ja voivat pudottaa hiljaa rivit, joita ne eivät ymmärrä. Salauksen tai TLS:n asetus, jonka vanhempi asiakasohjelma hylkää, on versio-ongelma, joka ratkaistaan operaattorin kanssa. Tuntemattomien oikeuksien ottaminen käyttöön tuonnin pakottamiseksi vaihtaa varoituksen laajempaan hyökkäyspintaan.

Säilytä alkuperäinen tiedosto vertailua varten, merkitse pyyntöösi tarkka tukematon direktiivi ja pyydä profiili, joka on tehty asiakasohjelmalle, jota todella käytät.

Varmista jokaisen korvauksen jälkeen, mitä profiilimerkintää sovellus käyttää, koska uuden tiedoston tuonti ei aina korvaa vanhaa.