Mi van valójában egy .ovpn fájlban, és mit nem tud

A legtöbb ember azt feltételezi, hogy az .ovpn fájl VPN-t állít be. Nem teszi: egy klienst állít be, és mindennek, amit kér, már léteznie kell a másik oldalon. Egy sor módosítása a fájlban megváltoztathatja, mit próbál a gépe, soha nem azt, mit kínál a szerver. Ez a különbség magyarázza a legtöbb zavart azok körül a profilok körül, amelyek nem importálhatók vagy nem kapcsolódnak.

Olvassa a fájlt a kliense felé címzett kérések listájaként, és a legtöbb sora nyilvánvalóvá válik.

A fájl a klienst írja le, nem a szervert

Egy profil egy remote végpontot, egy szállítást, egy interfésztípust, identitásanyagot és minden kliensoldali viselkedést egyesít, amelyet az üzemeltető szeretne. Minden sort a kliens hajt végre indításkor. Egyik sem jut el a szerverhez konfigurációváltozásként, és egyik sem hozhat létre olyan figyelőt, amely már nem fut. Egy profil, amely TCP 443-at nevez meg egy olyan szerver felé, amely csak UDP 1194-en figyel már az első csomagnál meghiúsul.

Ezért viselkedik ugyanaz a fájl két kliensen másképp: a fájl kér, a kliens pedig eldönti, a kérés mekkora részét tudja teljesíteni.

A szállítási soroknak meg kell felelniük egy már létező figyelőnek

proto és remote sornak egyeznie kell azzal, amit a szerver valóban hozzáköt. Az UDP a szokásos választás, mert egy elveszett datagram nem akasztja le az alagutat, míg a TCP a sor elejének blokkolása árán túlélheti a korlátozó hálózatokat az alagúton belül. Egy profil UDP-ről TCP-re váltása nem veszi rá a szervert a TCP elfogadására; csak arra veszi rá a klienst, hogy olyan portra küldjön, amelyet senki sem olvas.

A 443-as port népszerű, mert olyan hálózatokon halad át, amelyek szinte semmi mást nem engednek, és OpenVPN munkamenet marad, nem HTTPS-kérés. Ha az üzemeltető több remote sort tesz közzé, a kliens sorban próbálja őket, ami átkapcsolási lista, nem terheléselosztási döntés. Tartsa meg az üzemeltető által szállított kombinációkat, ahelyett hogy az egyik bejegyzés hosztját egy másik portjával keverné.

A beágyazott kulcsok megváltoztatják a fájl kezelését

A tanúsítványok és kulcsok beágyazva állhatnak a <ca>, <cert> és <key> címkék között, vagy külön fájlként hivatkozhatunk rájuk. A beágyazott anyag önállóvá teszi a profilt, és titokká is, mert a kliens privát kulcsa benne utazik. A CA-tanúsítvány nyilvános bizalmi anyag, és biztonságos megosztani; a privát kulcs nem az, még akkor sem, ha olvashatatlan szövegblokknak tűnik.

A kulcsot védő jelmondat külön titok a fiók jelszavától, és összekeverésük olyan hitelesítési hibát okoz, amely rossz hitelesítő adatoknak látszik.

Lehet, hogy az útvonalak és a DNS egyáltalán nem a fájlból jönnek

Az útválasztást a szerver tolhatja, a profil beállíthatja a redirect-gateway segítségével, vagy a kliens saját alapértékein maradhat. Ezért a letöltött fájl nem határozza meg teljesen, hová megy a forgalom az alagút felállása után. Amikor a belső nevek feloldódnak, a nyilvános oldalak pedig nem, a megosztott alagút szabályzata azt teszi, amire tervezték, és nem hibázik.

A DNS ugyanezt a mintát követi: a betolt dhcp-option DNS klienstől alkalmazható, figyelmen kívül hagyható, vagy egy helyi feloldókezelő felülírhatja. Csatlakozás után ellenőrizze a feloldó állapotát, ahelyett hogy újra elolvasná a profilt.

A nem támogatott beállítások kliensverzió kérdése

Az importálási figyelmeztetések általában azt jelentik, hogy a kliens nem valósít meg egy direktívát, nem azt, hogy a fájl sérült. Az asztali kliensek szkripteket és bővítményeket futtathatnak dokumentált korlátok között, míg a mobil kliensek szűkebb készletet fogadnak el, és csendben eldobhatják az általuk nem értett sorokat. Egy régebbi kliens által elutasított titkosítási vagy TLS-beállítás verzióprobléma, amelyet az üzemeltetővel kell megoldani. Ismeretlen jogosultságok engedélyezése az importálás kikényszerítéséhez figyelmeztetést cserél szélesebb támadási felületre.

Őrizze meg az eredeti fájlt összehasonlításra, jegyezze fel a pontos nem támogatott direktívát a kérésében, és kérjen olyan profilt, amelyet a ténylegesen futtatott klienshez építettek.

Minden csere után erősítse meg, melyik profilbejegyzést használja az alkalmazás, mert egy új fájl importálása nem mindig írja felül a régit.