Que contén realmente un ficheiro .ovpn e que non pode facer

A maioría da xente supón que un ficheiro .ovpn configura unha VPN. Non é así: configura un cliente, e todo o que pide debe existir xa no outro lado. Cambiar unha liña do ficheiro pode cambiar o que intenta a túa máquina, nunca o que ofrece o servidor. Esa distinción explica a maior parte da confusión arredor de perfís que non se importan ou non se conectan.

Le o ficheiro como unha lista de peticións dirixida ao teu cliente, e a maioría das súas liñas vólvense obvias.

O ficheiro describe o teu cliente, non o servidor

Un perfil reúne o punto final remote, un transporte, un tipo de interface, material de identidade e calquera comportamento do lado do cliente que queira o operador. O cliente executa cada liña ao arrincar. Ningunha chega ao servidor como un cambio de configuración, e ningunha pode crear un oínte que non estea xa en marcha. Un perfil que indica TCP 443 contra un servidor que só escoita en UDP 1194 falla no primeiro paquete.

Por iso o mesmo ficheiro compórtase distinto en dous clientes: o ficheiro pide, e o cliente decide canto da petición pode cumprir.

As liñas de transporte deben coincidir cun oínte que xa exista

proto e remote deben coincidir co que o servidor liga realmente. UDP é a opción habitual porque un datagrama perdido non atasca o túnel, mentres que TCP pode sobrevivir a redes restritivas a costa de bloquear a cabeza da cola dentro do túnel. Cambiar un perfil de UDP a TCP non fai que o servidor acepte TCP; só fai que o cliente envíe a un porto que ninguén le.

O porto 443 é popular porque atravesa redes que non permiten case nada máis, e segue sendo unha OpenVPN sesión en lugar dunha petición HTTPS. Se o operador publica varias remote liñas, o cliente proba nas por orde, o que é unha lista de conmutación por fallo e non unha decisión de equilibrio de carga. Conserva as combinacións que entregou o operador en vez de mesturar un host dunha entrada cun porto doutra.

As chaves incrustadas cambian como manexas o ficheiro

Os certificados e as chaves poden ir incrustados entre as etiquetas <ca>, <cert> e <key>, ou referenciarse como ficheiros separados. O material incrustado fai que o perfil sexa autosuficiente e tamén o converte nun segredo, porque a chave privada do cliente viaxa dentro. Un certificado CA é material de confianza público e é seguro compartilo; unha chave privada non, nin sequera cando parece un bloque de texto ilexible.

A frase de contrasinal que protexe unha chave é un segredo distinto do contrasinal da conta, e confundilos produce un fallo de autenticación que parece unha credencial incorrecta.

As rutas e o DNS poden non vir do ficheiro en absoluto

O encamiñamento pode empurralo o servidor, definilo o perfil con redirect-gateway, ou deixarse aos valores predeterminados do cliente. Por tanto, o ficheiro que descargaches non determina de todo onde vai o tráfico despois de que o túnel se levante. Cando os nomes internos se resolven e os sitios públicos non, a política de túnel dividido fai o que se deseñou para facer, non falla.

O DNS segue o mesmo patrón: un dhcp-option DNS empurrado pode aplicalo o cliente, ignoralo ou ser sobrescrito por un xestor de resolución local. Comproba o estado do resolutor despois de conectar en lugar de volver ler o perfil.

As opcións non compatibles son unha cuestión de versión do cliente

Os avisos de importación adoitan significar que o cliente non implementa unha directiva, non que o ficheiro estea danado. Os clientes de escritorio poden executar scripts e complementos baixo controis documentados, mentres que os clientes móbiles aceptan un conxunto máis estreito e poden descartar en silencio liñas que non entenden. Un axuste de cifrado ou TLS que un cliente antigo rexeita é un problema de versión que hai que resolver co operador. Habilitar privilexios descoñecidos para forzar unha importación cambia un aviso por unha superficie de ataque máis ampla.

Conserva o ficheiro orixinal para comparar, anota a directiva non compatible exacta na túa solicitude e pide un perfil feito para o cliente que realmente executas.

Tras calquera substitución, confirma que entrada de perfil usa a aplicación, porque importar un ficheiro novo non sempre sobrescribe o antigo.