Wat in .ovpn-bestân eins befettet, en wat it net kin

De measte minsken nimme oan dat in .ovpn-bestân in VPN konfigurearret. Dat docht it net: it konfigurearret ien klient, en alles wat it freget, moat al oan de oare kant bestean. In rigel yn it bestân feroarje kin feroarje wat jo masine besiket, nea wat de tsjinner biedt. Dat ûnderskie ferklearret it measte fan ’e betizing oer profilen dy’t net ymportearje of ferbine.

Lês it bestân as in list fan fersiken rjochte oan jo klient, en de measte rigels wurde fanselssprekkend.

It bestân beskriuwt jo klient, net de tsjinner

In profyl bondellet in remote-einpunt, in ferfier, in ynterfacetyp, identiteitsmateriaal en al it klintgedrach dat de operator wol. Eltse rigel wurdt by it opsjen troch de klient útfierd. Gjinien fan harren berikt de tsjinner as in konfiguraasjefoarring, en gjinien kin in harker meitsje dy’t al net rint. In profyl dat TCP 443 neamd tsjin in tsjinner dy’t allinnich op UDP 1194 harket falt by it earste pakket.

Dêrom gedraacht itselde bestân him oars op twa klinten: it bestân freget, en de klient beslút hoefolle fan it fersyk er eare kin.

Ferfierrigels moatte oerienkomme mei in harker dy’t al bestiet

proto en remote rigels moatte oerienkomme mei wat de tsjinner wier bint. UDP is de gewoane kar om’t in ferlern datagram de tunnel net stopset, wylst TCP beheinde netwurken oerlibje kin tsjin ’e priis fan blokkearring oan ’e kop fan ’e wachtrige yn ’e tunnel. In profyl fan UDP nei TCP omskeakelje makket net dat de tsjinner TCP akseptearret; it makket allinnich dat de klient nei in poarte stjoert dy’t nimmen lêst.

Poarte 443 is populêr om’t er troch netwurken giet dy’t hast neat oars tastean, en it bliuwt in OpenVPN sesje ynstee fan in HTTPS-fersyk. As de operator ferskate remote rigels publisearret, probearret de klient se yn folchoarder, wat in failover-list is en gjin beslissing oer lêstferdieling. Hâld de kombinaasjes dy’t de operator levere hat, ynstee fan in host út ien ynfier mei in poarte út in oar te mingelen.

Ynboude kaaien feroarje hoe’t jo it bestân behannelje

Sertifikaten en kaaien kinne ynboud stean tusken de labels <ca>, <cert> en <key>, of as aparte bestânnen ferwiisd wurde. Ynboud materiaal makket it profyl selsstannich en makket it ek in geheim, om’t de priveekaai fan ’e klient der binnenyn reizget. In CA-sertifikaat is iepenbier fertrouwensmateriaal en is feilich te dielen; in priveekaai net, sels as it der as in ûnlêsber tekstblok útsjocht.

It wachtwurd dat in kaai beskermet is in apart geheim fan it akkountwachtwurd, en se trochinoar helje jout in autentikaasjeflater dy’t der as ferkearde legitimasaasje útsjocht.

Rûtes en DNS komme miskien hielendal net út it bestân

Routing kin troch de tsjinner skood wurde, troch it profyl mei redirect-gateway set wurde, of oan ’e eigen standertwearden fan ’e klient oerlitten wurde. It bestân dat jo downloade hawwe bepaalt dêrom net folslein wêr’t it ferkear hinne giet nei’t de tunnel omheech kommen is. As ynterne nammen oplosse en iepenbiere siden net, docht it split-tunnelbelied wat it ûntwurpen is om te dwaan, en falt it net.

DNS folget itselde patroan: in skode dhcp-option DNS kin troch de klient tapast, negeare of troch in pleatslike resolverbehearder oerskreaun wurde. Kontrolearje de tastân fan ’e resolver nei it ferbinen ynstee fan it profyl wer te lêzen.

Net-stipe opsjes binne in fraach fan klientferzje

Ymportwarskôgings betsjutte meastentiids dat de klient in rjochtline net ymplemintearret, net dat it bestân skansearre is. Buroblêdklinten kinne skripts en tafoegings ûnder dokumintearre kontrôles rinne litte, wylst mobile klinten in smeller set akseptearje en rigels dy’t se net begripe stilwei falle litte kinne. In sjifre- of TLS-ynstelling dy’t in âldere klient wegeret is in ferzje probleem om mei de operator op te lossen. Unbekende rjochten ynskeakelje om in ymport te twingen ruilet in warskôging foar in breder oanfalsoerflak.

Hâld it orizjinele bestân foar ferliking, notearje de krekte net-stipe rjochtline yn jo fersyk, en freegje om in profyl dat boud is foar de klient dy’t jo wier rinne litte.

Nei elke ferfanging, befêstigje hokker profilynfoer de app brûkt, om’t it ymportearjen fan in nij bestân net altyd it âlde oerskriuwt.