Importare un file .ovpn: cosa installa e cosa no

Hai importato il profilo, il client segnala la connessione e l'elenco dei certificati di sistema è esattamente come prima. È il risultato atteso, non un'importazione fallita. Un file .ovpn è una configurazione testuale che indica a un client OpenVPN compatibile come raggiungere un server e come autenticarsi, e non scrive mai nulla nell'archivio di fiducia del dispositivo. Da questa confusione derivano due errori: aspettarsi che compaia un tipo di VPN nativo e concludere che l'importazione è fallita perché non è comparso alcun certificato.

La convinzione che un'importazione installi un certificato

Il profilo può trasportare materiale del certificato al proprio interno, ed è da lì che nasce l'idea: un blocco di testo tra parentesi angolari sembra un'installazione. Il client lo interpreta invece come configurazione, consegnando il certificato al proprio livello TLS e non al sistema operativo. Nulla si aggiunge alle impostazioni di fiducia del dispositivo, e nulla dovrebbe essere aggiunto. Il file descrive una connessione, mentre l'archivio di fiducia descrive di chi il dispositivo è disposto a fidarsi.

Un profilo è anche inutile senza la chiave privata a cui rimanda, ed è un altro motivo per cui non è un certificato. Ottieni il file dal canale verificato dell'operatore e trattalo come sensibile, perché può incorporare materiale di identità che appartiene a te. Perdi la chiave e il profilo diventa la descrizione di una connessione che non puoi realizzare.

Apri il file come documenta il client

Usa l'opzione di importazione file documentata dal client invece di rinominare l'estensione o incollare il testo in una finestra VPN non correlata. Alcuni prodotti accettano anche un URL o un archivio impacchettato, e sono metodi supportati separati con le proprie modalità di errore. Se i certificati o le chiavi arrivano come file separati, scopri come il client si aspetta di riceverli prima di spostare qualsiasi cosa. Copiare solo il testo .ovpn su una seconda macchina lascia ogni percorso referenziato puntato a un file che non c'è, e l'errore che ottieni parlerà di un file mancante anziché di un'importazione mancante.

È la trappola della portabilità in una riga: il testo viaggia e i riferimenti no. Colloca i file referenziati nella disposizione documentata dal client, oppure converti il profilo in forma inline se il client la supporta.

Materiale inline contro file referenziati

Un profilo inline porta la CA, il certificato e la chiave dentro il file, quindi è autosufficiente e portabile, ma anche un unico oggetto da proteggere con la stessa cura della chiave che contiene. Un profilo con riferimenti indica percorsi sul disco, il che funziona solo dove quei percorsi esistono e dove il client viene eseguito con il permesso di leggerli. Spostare una forma senza l'altra è il guasto di portabilità più comune, e si manifesta come errore TLS anziché come errore di importazione. Nessuna delle due forme cambia il modello di sicurezza, perché il client continua a convalidare il server e continua ad aver bisogno di una chiave privata utilizzabile.

Un profilo che disattiva la verifica per far riuscire l'importazione ha barattato il controllo con l'apparenza di un progresso. Rimetti a posto quell'impostazione prima di collegarti a qualcosa di reale.

Una direttiva rifiutata è un disallineamento del client

Una direttiva che un client desktop accetta può essere rifiutata da un client mobile o da una versione desktop semplificata, e hook di script, comandi di routing e alcune opzioni di trasporto rientrano in questa categoria. Il client non sta facendo il difficile; si rifiuta di eseguire istruzioni che non può imporre. Gli errori di importazione di solito nominano la direttiva, e quel nome è molto più utile di un generico messaggio di importazione impossibile. Cerca quel nome nella documentazione del client prima ancora di modificare il profilo.

Non rimuovere la verifica del server e non attivare scripting sconosciuto solo per far passare l'importazione. Trova un client che supporti la direttiva, oppure chiedi all'operatore un profilo scritto per il client che esegui davvero. Rimuovere una riga per zittire un errore cambia ciò che la connessione garantisce, e quel cambiamento sopravvive all'importazione.

Controlla la voce che avvii davvero

Niente garantisce che il file appena scaricato abbia sostituito la copia importata il mese scorso, quindi conferma il nome del profilo selezionato e i dettagli del suo server prima di connetterti. Dopo la connessione, prova la risorsa di cui hai davvero bisogno e ispeziona il comportamento di routing e DNS, perché una connessione completata è solo la prima fase. Se il profilo viene rifiutato, conserva il messaggio di importazione esatto e la versione del client, perché è un problema diverso da un profilo che si importa e poi non raggiunge il suo server. Il manuale di OpenVPN documenta le direttive che un profilo può contenere, ed è il riferimento da controllare prima di modificarne uno.

Quando il sostituto funziona, dismetti la vecchia voce con il controllo di rimozione del client. Rimuovere il file dalla cartella Download lascia intatta la connessione memorizzata dentro l'app. Concludi annotando quale nome di profilo è attivo, così la persona successiva non si connette tramite la copia che intendevi dismettere.