ייבוא קובץ .ovpn: מה הוא מתקין ומה הוא לא

ייבאתם את הפרופיל, הלקוח מדווח על חיבור, ורשימת האישורים של המערכת נראית בדיוק כפי שהייתה קודם. זו התוצאה הצפויה, ולא ייבוא שנכשל. קובץ .ovpn הוא תצורת טקסט שאומרת ללקוח OpenVPN תואם כיצד להגיע לשרת וכיצד להזדהות, והוא אינו כותב דבר אל מאגר האמון של המכשיר. שתי טעויות נובעות מהבלבול הזה: לצפות שסוג VPN מקורי יופיע, ולהסיק שהייבוא נכשל מפני שלא הופיע שום אישור.

התפיסה שייבוא מתקין אישור

הפרופיל יכול לשאת חומר אישור בתוכו, ומשם מגיע הרעיון: גוש טקסט בין סוגריים זוויתיים נראה כמו התקנה. הלקוח מפרש אותו כקונפיגורציה במקום זאת, ומוסר את האישור לשכבת TLS שלו ולא למערכת ההפעלה. דבר אינו מתווסף להגדרות האמון של המכשיר, וגם לא צריך להתווסף. הקובץ מתאר חיבור, ואילו מאגר האמון מתאר למי המכשיר מוכן להאמין.

פרופיל גם חסר תועלת בלי המפתח הפרטי שהוא מפנה אליו, וזו סיבה נוספת לכך שאינו אישור. השיגו את הקובץ מהערוץ המאומת של המפעיל, והתייחסו אליו כאל מידע רגיש, כי הוא יכול להטמיע חומר זהות ששייך לכם. אם תאבדו את המפתח, הפרופיל יהפוך לתיאור של חיבור שלא תוכלו לבצע.

פתחו את הקובץ כפי שהלקוח מתעד

השתמשו באפשרות ייבוא הקובץ המתועדת של הלקוח, במקום לשנות את סיומת הקובץ או להדביק את הטקסט בתיבת דו-שיח VPN שאינה קשורה. מוצרים אחדים מקבלים גם כתובת URL או ארכיון ארוז, ואלה שיטות נתמכות נפרדות עם אופני כשל משלהן. אם האישורים או המפתחות מגיעים כקבצים נפרדים, בררו כיצד הלקוח מצפה לקבל אותם לפני שאתם מזיזים משהו. העתקה של טקסט ה-.ovpn בלבד למכונה שנייה משאירה כל נתיב מוזכר מצביע על קובץ שאינו קיים, והשגיאה שתופיע תדבר על קובץ חסר ולא על ייבוא חסר.

זו מלכודת הניידות בשורה אחת: הטקסט נוסע וההפניות לא. הניחו את הקבצים המוזכרים בפריסה שהלקוח מתעד, או המירו את הפרופיל לצורה מוטמעת אם הלקוח תומך בכך.

חומר מוטמע מול קבצים מוזכרים

פרופיל מוטמע נושא את ה-CA, האישור והמפתח בתוך הקובץ, לכן הוא עצמאי ונייד, אך גם אובייקט אחד שצריך להגן עליו בזהירות כמו על המפתח שבתוכו. פרופיל המפנה לקבצים מציין נתיבים בדיסק, וזה עובד רק במקום שבו הנתיבים קיימים ובו הלקוח רץ עם הרשאה לקרוא אותם. העברה של צורה אחת בלי האחרת היא כשל הניידות השכיח, והוא מתגלה כשגיאת TLS ולא כשגיאת ייבוא. אף אחת מהצורות אינה משנה את מודל האבטחה, כי הלקוח עדיין מאמת את השרת ועדיין זקוק למפתח פרטי שמיש.

פרופיל שמבטל את האימות כדי שהייבוא יצליח החליף את הבדיקה במראית עין של התקדמות. החזירו את ההגדרה למקומה לפני שמתחברים למשהו אמיתי.

פקודה שנדחתה מעידה על אי-התאמת של הלקוח

פקודה שלקוח שולחני מקבל עלולה להידחות בלקוח נייד או בגרסה שולחנית מצומצמת, ונקודות ווי לסקריפטים, פקודות ניתוב וחלק מאפשרויות התעבורה נכנסים לקטגוריה הזו. הלקוח אינו מתאכזר; הוא מסרב להריץ הוראות שאינו יכול לאכוף. שגיאות ייבוא בדרך כלל נוקבות בשם הפקודה, והשם הזה שימושי בהרבה מהודעת כללית של ייבוא שנכשל. חפשו את השם הזה בתיעוד של הלקוח עצמו לפני שאתם עורכים את הפרופיל בכלל.

אל תסירו את אימות השרת ואל תפעילו סקריפטים לא מוכרים רק כדי שהייבוא יעבור. מצאו לקוח שתומך בפקודה, או בקשו מהמפעיל פרופיל שנכתב ללקוח שאתם באמת מריצים. הסרת שורה כדי להשתיק שגיאה משנה את מה שהחיבור מבטיח, והשינוי הזה שורד אחרי הייבוא.

בדקו את הרשומה שאתם באמת מפעילים

שום דבר לא מבטיח שהקובץ שהורדתם זה עתה החליף את העותק שיובא בחודש שעבר, לכן ודאו את שם הפרופיל הנבחר ואת פרטי השרת שלו לפני החיבור. לאחר החיבור, בדקו את המשאב שאתם באמת צריכים ובחנו את התנהגות הניתוב וה-DNS, כי חיבור שהושלם הוא רק השלב הראשון. אם הפרופיל נדחה, שמרו את הודעת הייבוא המדויקת ואת גרסת הלקוח, כי זו בעיה אחרת מפרופיל שיובא ואז אינו מצליח להגיע לשרת שלו. המדריך של OpenVPN מתעד את הפקודות שפרופיל עשוי להכיל, וזהו המקור לבדוק לפני שעורכים פרופיל.

כשההחלפה עובדת, הוציאו לגמלאות את הרשומה הישנה באמצעות בקרת ההסרה של הלקוח עצמו. הסרת הקובץ מתיקיית ההורדות משאירה את החיבור השמור בתוך האפליקציה כמו שהוא. וסיימו בתיעוד איזה שם פרופיל פעיל, כדי שהאדם הבא לא יתחבר דרך העותק שרציתם לפרוש.