OpenVPN-profil hordozhatósága: hordozható kulcsok vagy platformbeállítások

Ugyanaz az .ovpn fájl az egyik kliensben alagutat nyit, a másikban nem indul el, és a tanúsítvány a leggyakoribb első gyanúsított. Gyakrabban a fájl olyan direktívát tartalmaz, amelyet csak egy motor valósít meg. A profil szerződés egy adott klienssel, nem hordozható szkript.

Válassza külön azt, ami az identitással utazik, attól, ami egy platformhoz tartozik. Akkor a hiba rendszerint magától megnevezi magát.

Egy fájl, két szerződés

A profil háromféle tartalmat fog össze: identitásanyagot, például CA- és kliens-tanúsítványokat és a titkos kulcsot, szállítási tényeket, például a távoli végpontot és a protokollt, valamint viselkedési direktívákat, például a DNS-kezelést vagy az eszközbeállításokat. Az első kettő széles körben hordozható az azonos protokollt támogató motorok között. A harmadik az, ahol a megvalósítások eltérnek. A teljes fájl egyetlen hordozható egységként való kezelése okozza a zavaró hibákat.

Egy fájl, amely az egyik platform GUI-jában működik, nem feltétlenül érvényes a másik platform parancssori klienséhez. Még ha mindkettő OpenVPN, az elemzők és az opciókészletek eltérnek. Ezért a sikeres import nem bizonyíték a hordozható profilra.

Hordozható anyag kontra platformdirektívák

Az identitás- és szállítási szakaszok azok a részek, amelyeket meg kell őrizni. A ca, cert, key és remote leírja, ki kapcsolódik és hová, és ugyanazt jelentik minden megfelelő kliensnek.

A viselkedési direktívák azok a részek, amelyeket össze kell hasonlítani. A block-outside-dns például a Windows DNS-viselkedésének módosítására létezik. Lehet, hogy egy Unix kliens egyáltalán nem ismeri fel.

A fogadó kliens opciólistáját olvassa, ne a küldőét. Az OpenVPN 2.6 referenciakézikönyv dokumentálja a motor opcióit, és egy GUI importálási párbeszédablaka nem ez a lista.

Az elemző hibáját olvassa a tanúsítvány előtt

Az ismeretlen opciót megnevező hiba elemzőhiba, nem hitelesítési hiba. A kapcsolat soha nem érte el a TLS-t, ezért a tanúsítványok cseréje nem segíthet. Olvassa el az első hibát a tényleges klienstől és verziótól, majd csak azt a direktívát távolítsa el vagy cserélje ki, amelyet az a kliens nem tud megvalósítani. A tanúsítvány- vagy útvonalszakaszok törlése, hogy a fájl betöltődjön, az az út, amelyen egy működő profil nem biztonságossá válik.

Ha a hiba a kézfogást, egy tanúsítványt vagy egy titkosítást említ, a profil elemződött, és a probléma máshol van.

Tartsa az eredeti fájlt az adaptált mellett. Amikor az adaptált fájl később meghiúsul, az eredeti a kontroll, amely megmondja, hogy a változtatás vagy a környezet változott-e.

A jogosultságok a második határ

A jogosultságok a másik határ: az alagút-eszköz létrehozása, az útvonalak telepítése és a titkos kulcs olvasása mind helyi engedélyektől függ. Egy csak root által olvasható kulcsfájl normális telepítés, nem profilhiba. A javítás a tulajdonjogba vagy a képességekbe tartozik, nem a fájlba.

A kliens sudo paranccsal való futtatása megoldhat egy helyi engedélymegtagadást, és nem adhat hozzá olyan direktívát, amelyet a bináris nem valósít meg. Azt is megváltoztatja, hogy melyik felhasználó kulcstartója, konfigurációs útvonalai és hálózatkezelő-környezete érvényes, ezért az eredmény nem ugyanaz a teszt.

Szándékosan adaptáljon

Amikor a szolgáltató külön profilokat tesz közzé, a fogadó kliensnek szántat válassza. Egy másik platform fájljának adaptálása az utolsó lehetőség. Minden megváltoztatott opcióról feljegyzés és az eredeti másolata kell hozzá.

Az identitást, az útvonalválasztást és a DNS-t három külön eredményként tesztelje. Az a profil, amely hitelesít és irányít, de elrontja a névfeloldást, részben adaptált profil, nem működő.