Apa sebenarnya isi file .ovpn, dan apa yang tidak bisa dilakukannya

Kebanyakan orang menganggap file .ovpn mengonfigurasi VPN. Tidak demikian: file itu mengonfigurasi satu klien, dan semua yang dimintanya harus sudah ada di sisi lain. Mengubah satu baris dalam file hanya bisa mengubah apa yang dicoba mesin Anda, tidak pernah apa yang ditawarkan server. Perbedaan itulah yang menjelaskan sebagian besar kebingungan soal profil yang gagal diimpor atau tersambung.

Bacalah file itu sebagai daftar permintaan yang dialamatkan ke klien Anda, dan sebagian besar barisnya menjadi jelas.

File itu menjelaskan klien Anda, bukan server

Sebuah profil menggabungkan remote titik akhir, transport, jenis antarmuka, materi identitas, dan perilaku sisi klien apa pun yang diinginkan operator. Setiap baris dijalankan oleh klien saat mulai. Tidak satu pun mencapai server sebagai perubahan konfigurasi, dan tidak satu pun bisa membuat pendengar yang belum berjalan. Profil yang menyebut TCP 443 terhadap server yang hanya mendengarkan UDP 1194 gagal pada paket pertama.

Itulah sebabnya file yang sama berperilaku berbeda pada dua klien: file meminta, dan klien memutuskan berapa banyak permintaan yang bisa dipenuhinya.

Baris transport harus cocok dengan pendengar yang sudah ada

proto dan remote harus sesuai dengan apa yang benar-benar diikat server. UDP adalah pilihan biasa karena datagram yang hilang tidak menghentikan tunnel, sedangkan TCP bisa bertahan di jaringan ketat dengan biaya penyumbatan kepala antrean di dalam tunnel. Mengalihkan profil dari UDP ke TCP tidak membuat server menerima TCP; itu hanya membuat klien mengirim ke port yang tidak dibaca siapa pun.

Port 443 populer karena melewati jaringan yang hampir tidak mengizinkan apa pun selain itu, dan tetap menjadi sesi OpenVPN bukan permintaan HTTPS. Jika operator menerbitkan beberapa baris remote, klien mencobanya berurutan, yang merupakan daftar failover, bukan keputusan penyeimbangan beban. Pertahankan kombinasi yang dikirim operator alih-alih mencampur host dari satu entri dengan port dari entri lain.

Kunci yang disematkan mengubah cara Anda menangani file

Sertifikat dan kunci dapat berada inline di antara tag <ca>, <cert> dan <key>, atau dirujuk sebagai file terpisah. Materi inline membuat profil mandiri dan sekaligus menjadikannya rahasia, karena kunci privat klien ikut berada di dalamnya. Sertifikat CA adalah materi kepercayaan publik dan aman dibagikan; kunci privat tidak, bahkan ketika terlihat seperti blok teks yang tak terbaca.

Frasa sandi yang melindungi kunci adalah rahasia terpisah dari kata sandi akun, dan mencampur keduanya menghasilkan kegagalan autentikasi yang tampak seperti kredensial salah.

Rute dan DNS mungkin tidak berasal dari file sama sekali

Routing dapat didorong server, diatur profil dengan redirect-gateway, atau dibiarkan pada nilai default klien itu sendiri. Karena itu, file yang Anda unduh tidak sepenuhnya menentukan ke mana lalu lintas pergi setelah tunnel menyala. Ketika nama internal teresolusi dan situs publik tidak, kebijakan tunnel terpisah melakukan apa yang dirancang, bukan gagal.

DNS mengikuti pola yang sama: dhcp-option DNS yang didorong dapat diterapkan klien, diabaikan, atau ditimpa pengelola resolver lokal. Periksa status resolver setelah tersambung, bukan membaca profil lagi.

Opsi yang tidak didukung adalah pertanyaan versi klien

Peringatan impor biasanya berarti klien tidak menerapkan direktif, bukan bahwa file rusak. Klien desktop dapat menjalankan skrip dan plugin di bawah kendali terdokumentasi, sedangkan klien seluler menerima kumpulan yang lebih sempit dan mungkin diam-diam membuang baris yang tidak dipahaminya. Pengaturan cipher atau TLS yang ditolak klien lama adalah masalah versi yang harus diselesaikan dengan operator. Mengaktifkan hak istimewa yang tidak dikenal untuk memaksa impor menukar peringatan dengan permukaan serangan yang lebih luas.

Simpan file asli untuk perbandingan, catat direktif yang tidak didukung persisnya dalam permintaan Anda, dan minta profil yang dibuat untuk klien yang benar-benar Anda jalankan.

Setelah penggantian apa pun, pastikan entri profil mana yang dipakai aplikasi, karena mengimpor file baru tidak selalu menimpa yang lama.