Portabilitas profil OpenVPN: kunci portabel versus opsi platform

Berkas .ovpn yang sama membuka terowongan di satu klien dan gagal mulai di klien lain, dan sertifikat biasanya menjadi tersangka pertama. Lebih sering berkas berisi direktif yang hanya diterapkan satu mesin. Profil adalah kontrak dengan klien tertentu, bukan skrip portabel.

Pisahkan apa yang ikut bersama identitas dari apa yang milik suatu platform. Kegagalan biasanya lalu menyebut namanya sendiri.

Satu berkas, dua kontrak

Profil menggabungkan tiga jenis isi: materi identitas seperti sertifikat CA dan klien serta kunci privat, fakta transport seperti titik akhir jarak jauh dan protokol, dan direktif perilaku seperti penanganan DNS atau opsi perangkat. Dua yang pertama sangat portabel di antara mesin yang mendukung protokol yang sama. Yang ketiga adalah tempat implementasi berbeda. Memperlakukan seluruh berkas sebagai satu unit portabel itulah yang menghasilkan kegagalan membingungkan.

Berkas yang berfungsi di GUI pada satu platform tidak otomatis valid untuk klien baris perintah di platform lain. Bahkan ketika keduanya OpenVPN, parser dan kumpulan opsinya berbeda. Karena itu impor yang berhasil bukan bukti profil portabel.

Materi portabel versus direktif platform

Bagian identitas dan transport adalah bagian yang harus dipertahankan. ca, cert, key dan remote menjelaskan siapa yang terhubung dan ke mana, dan semuanya berarti sama bagi setiap klien yang sesuai.

Direktif perilaku adalah bagian yang harus dibandingkan. block-outside-dns, misalnya, ada untuk mengubah perilaku DNS di Windows. Klien Unix mungkin tidak mengenalinya sama sekali.

Bacalah daftar opsi klien penerima, bukan pengirim. Manual referensi OpenVPN 2.6 mendokumentasikan opsi mesin, dan dialog impor GUI bukan daftar itu.

Baca kesalahan parser sebelum sertifikat

Kesalahan yang menyebut opsi tak dikenal adalah kegagalan parser, bukan kegagalan autentikasi. Koneksi tidak pernah mencapai TLS, jadi mengganti sertifikat tidak dapat membantu. Bacalah kesalahan pertama dari klien dan versi sebenarnya, lalu hapus atau ganti hanya direktif yang tidak dapat diterapkan klien itu. Menghapus bagian sertifikat atau rute agar berkas termuat adalah cara profil yang berfungsi menjadi tidak aman.

Jika kesalahan menyebut handshake, sertifikat, atau cipher, profil berhasil diurai dan masalahnya ada di tempat lain.

Simpan berkas asli di samping berkas yang diadaptasi. Ketika berkas adaptasi gagal kemudian, berkas asli adalah kendali yang memberi tahu apakah perubahan atau lingkungan yang bergeser.

Hak istimewa adalah batas kedua

Hak istimewa adalah batas lainnya: membuat perangkat terowongan, memasang rute, dan membaca kunci privat semuanya bergantung pada izin lokal. Berkas kunci yang hanya dapat dibaca root adalah penerapan normal, bukan cacat profil. Perbaikannya ada pada kepemilikan atau kapabilitas, bukan pada berkas.

Menjalankan klien dengan sudo dapat mengatasi penolakan izin lokal, dan itu tidak dapat menambahkan direktif yang tidak diterapkan biner. Itu juga mengubah keyring pengguna mana, jalur konfigurasi, dan konteks pengelola jaringan yang berlaku, sehingga hasilnya bukan uji yang sama.

Adaptasi dengan sengaja

Ketika penyedia menerbitkan profil terpisah, ambillah yang ditujukan untuk klien penerima. Mengadaptasi berkas platform lain adalah upaya terakhir. Itu memerlukan catatan setiap opsi yang diubah dan salinan berkas asli.

Uji identitas, perutean, dan DNS sebagai tiga hasil terpisah. Profil yang mengautentikasi dan merutekan tetapi merusak resolusi nama adalah profil yang diadaptasi sebagian, bukan yang berfungsi.