Importar un ficheiro .ovpn: que instala e que non

Importou o perfil, o cliente informa de que está conectado e a lista de certificados do sistema parece exactamente igual que antes. Ese é o resultado agardado, non unha importación fallida. Un ficheiro .ovpn é unha configuración de texto que indica a un cliente OpenVPN compatible como chegar a un servidor e como autenticarse, e nunca escribe nada no almacén de confianza do dispositivo. Desa confusión derivan dous erros: esperar que apareza un tipo de VPN nativo e concluír que a importación fallou porque non apareceu ningún certificado.

A crenza de que unha importación instala un certificado

O perfil pode levar o material do certificado en liña, e de aí vén a idea: un bloque de texto entre corchetes angulares parece unha instalación. O cliente, porén, analízao como configuración e entrega o certificado á súa propia capa TLS en lugar de ao sistema operativo. Non se engade nada á configuración de confianza do dispositivo, e non debería engadirse nada. O ficheiro describe unha conexión, mentres que o almacén de confianza describe en quen está disposto a crer o dispositivo.

O perfil tamén é inútil sen a clave privada á que fai referencia, que é outra razón pola que non é un certificado. Obteña o ficheiro da canle verificada do operador e tráteo como sensible, porque pode incrustar material de identidade que lle pertence. Se perde a clave, o perfil convértese na descrición dunha conexión que non pode facer.

Abra o ficheiro tal como o documenta o cliente

Utilice a opción de importación de ficheiros documentada polo cliente en lugar de cambiar a extensión ou pegar o texto nun diálogo de VPN sen relación. Algúns produtos tamén aceptan un URL ou un arquivo empaquetado, e son métodos admitidos distintos coas súas propias formas de fallo. Se os certificados ou as claves chegan como ficheiros separados, averigüe como espera recibilos o cliente antes de mover nada. Copiar só o texto .ovpn a unha segunda máquina deixa cada ruta referenciada apuntando a un ficheiro que non está alí, e o erro que reciba falará dun ficheiro ausente en lugar dunha importación ausente.

Esa é a trampa da portabilidade nunha liña: o texto viaxa e as referencias non. Coloque os ficheiros referenciados na disposición que documenta o cliente, ou converta o perfil á forma en liña se o cliente o admite.

Material en liña fronte a ficheiros referenciados

Un perfil en liña leva a CA, o certificado e a clave dentro do ficheiro, así que é autónomo e portátil, pero tamén un único obxecto que hai que protexer co mesmo coidado que a clave que contén. Un perfil referenciado nomea rutas no disco, o que só funciona onde esas rutas existen e onde o cliente ten permiso para lelas. Mover unha forma sen a outra é o fallo de portabilidade habitual, e maniféstase como un erro de TLS en lugar dun erro de importación. Ningunha das dúas formas cambia o modelo de seguridade, porque o cliente segue validando o servidor e segue necesitando unha clave privada utilizábel.

Un perfil que desactiva a verificación para que a importación funcione cambiou a comprobación pola aparencia de avance. Volva poñer a configuración antes de conectarse a algo real.

Unha directiva rexeitada é un desaxuste do cliente

Unha directiva que un cliente de escritorio acepta pode ser rexeitada por un cliente móbil ou unha compilación de escritorio simplificada, e os ganchos de script, as ordes de encamiñamento e algunhas opcións de transporte entran nesa categoría. O cliente non é difícil; négase a executar instrucións que non pode impoñer. Os erros de importación adoitan nomear a directiva, e ese nome é moito máis útil ca unha mensaxe xeral de que non se pode importar. Busque ese nome na documentación do propio cliente antes de editar o perfil.

Non elimine a verificación do servidor nin active scripts descoñecidos só para que a importación pase. Ou ben atope un cliente que admita a directiva, ou ben pida ao operador un perfil escrito para o cliente que realmente executa. Quitar unha liña para silenciar un erro cambia o que garante a conexión, e ese cambio sobrevive á importación.

Comprobe a entrada que realmente inicia

Nada garante que o ficheiro que acaba de descargar substituíse a copia importada o mes pasado, así que confirme o nome do perfil seleccionado e os datos do seu servidor antes de conectarse. Despois de conectarse, probe o recurso que realmente necesita e inspeccione o comportamento de encamiñamento e DNS, porque unha conexión completada só é a primeira etapa. Se o perfil é rexeitado, garde a mensaxe exacta de importación e a versión do cliente, porque é un problema distinto do dun perfil que se importa e despois non chega ao seu servidor. O manual de OpenVPN documenta as directivas que pode conter un perfil, e esa é a referencia que hai que consultar antes de editar un.

Cando o substituto funcione, retire a entrada antiga co control de eliminación do propio cliente. Eliminar o ficheiro de Descargas deixa intacta a conexión gardada dentro da aplicación. Remate anotando que nome de perfil está activo, para que a seguinte persoa non se conecte a través da copia que pretendía retirar.