Draachberens fan OpenVPN-profyl: draachbere kaaien tsjin platfoarmopsjes
In .ovpn-bestân mingt draachber identiteitsmateriaal mei rjochtlinen dy't mar ien klant begrypt. Ferlykje de twa foardat jo it sertifikaat de skuld jouwe foar in flater.
Hetzelfde .ovpn-bestân iepenet in tunnel yn ien klant en start net yn in oare, en it sertifikaat is meastentiids de earste fertochte. Fakentiden befettet it bestân in rjochtline dy't mar ien motor ymplemintearret. In profyl is in kontrakt mei in spesifike klant, gjin draachber skript.
Skied wat mei de identiteit reizget fan wat by in platfoarm heart. Dan neamt de flater him meastentiids sels.
Ien bestân, twa kontrakten
In profyl bondelt trije soarten ynhâld: identiteitsmateriaal lykas CA- en kliïntsertifikaten en de partikuliere kaai, transportfeiten lykas it opôfstânse einpunt en it protokol, en gedrachsrjochtlinen lykas DNS-ôfhanneling of apparaatopsjes. De earste twa binne breed draachber tusken motors dy't itselde protokol stypje. De tredde is wêr't de ymplemintaasjes útinoar rinne. It hiele bestân as ien draachbere ienheid behannelje is wat de betiizjende flaters produsearret.
In bestân dat yn in GUI op ien platfoarm wurket, is net automatysk jildich foar de kommandorigel-klant op in oare. Sels as beide OpenVPN binne, ferskille de parsers en de opsjesets. Dêrom is in suksesfolle ymport gjin bewiis fan in draachber profyl.
Draachber materiaal tsjin platfoarmrjochtlinen
De identiteits- en transportseksjes binne it part dat bewarre wurde moat. ca, cert, key en remote beskriuwe wa't ferbynt en wêr hinne, en se betsjutte itselde foar elke konforme klant.
Gedrachsrjochtlinen binne it part dat ferlike wurde moat. block-outside-dns bestiet bygelyks om it DNS-gedrach ûnder Windows te feroarjen. In Unix-klant werkenneret it miskien hielendal net.
Lês de opsjeslist fan de ûntfangende klant yn plak fan dy fan de stjoerende. It OpenVPN 2.6 referinsjehânboek dokumintearret de opsjes fan de motor, en de ymportdialooch fan in GUI is net dy list.
Lês de parserflater foar it sertifikaat
In flater dy't in net-werkende opsje neamt, is in parserflater, gjin autentikaasjeflater. De ferbining berikte nea TLS, dus sertifikaten feroarje kin net helpe. Lês de earste flater fan de wiere klant en ferzje en ferwiderje of ferfange dêrnei allinnich de rjochtline dy't dy klant net ymplemintearje kin. Sertifikaat- of rûteseksjes wiskje om it bestân laden te krijen is hoe't in wurkjend profyl in ûnfeilich ien wurdt.
As de flater de hânskud, in sertifikaat of in syfing neamt, is it profyl parse en leit it probleem earne oars.
Hâld it orizjinele bestân njonken it oanpaste. As it oanpaste bestân letter mislearret, is it orizjinele de kontrôle dy't seit oft de feroaring of de omjouwing beweegde.
Befêstigings binne in twadde grins
Befêstigings binne de oare grins: in tunnelapparaat meitsje, rûtes ynstallearje en in partikuliere kaai lêze hingje allegear fan lokale tastimmingen ôf. In kaaibestân dat allinnich root lêze kin, is in normale ymplein, gjin profyldefekt. De reparaasje heart by eigendom of kapasiteiten, net by it bestân.
De klant mei sudo útfiere kin in lokale tastimmingswegering oplosse, en it kin gjin rjochtline taheakje dy't it binêre net ymplemintearret. It feroaret ek hokker kaaikebân, konfiguraasjepaaden en netwurkbehearderkontekst jilde, dus it resultaat is net deselde test.
Pas bewust oan
As in provider aparte profylen publisearret, nim dan dy foar de ûntfangende klant. In bestân fan in oar platfoarm oanpasse is in lêste útkearing. It freget in notysje fan elke feroare opsje en in kopy fan it orizjinele.
Test identiteit, rûtearing en DNS as trije aparte útkomsten. In profyl dat autentisearret en rûteart mar namme-oplossing brekt, is in foar in part oanpast profyl, gjin wurkjend ien.