.ovpn ファイルをインポートすると何が入り、何が入らないのか

プロファイルをインポートし、クライアントは接続済みと報告し、システムの証明書一覧は以前とまったく同じに見えます。これはインポートの失敗ではなく、想定どおりの結果です。.ovpn ファイルは、対応する OpenVPN クライアントにサーバーへの到達方法と認証方法を伝えるテキスト設定であり、端末のトラストストアには何も書き込みません。この混同から、ネイティブの VPN 種類が現れるという期待と、証明書が現れないためインポートが失敗したという結論という二つの誤りが生まれます。

インポートが証明書をインストールするという思い込み

プロファイルが証明書の素材を内部に含められること、そして山かっこで囲まれたテキストの塊がインストールのように見えることが、この発想の源です。しかしクライアントはそれを設定として解釈し、証明書をオペレーティングシステムではなく自身の TLS 層に渡します。端末の信頼設定には何も追加されず、追加されるべきでもありません。ファイルは接続を記述し、トラストストアは端末が誰を信じる用意があるかを記述します。

プロファイルは、参照する秘密鍵がなければ役に立たず、これも証明書ではない理由の一つです。ファイルは事業者の検証済みチャネルから入手し、あなたに属する身元情報が埋め込まれている可能性があるため、機密情報として扱ってください。鍵を失えば、プロファイルは実現できない接続の説明書きになります。

クライアントのドキュメントどおりにファイルを開く

拡張子を書き換えたり、無関係な VPN ダイアログにテキストを貼り付けたりせず、クライアントが文書化しているファイルインポート機能を使ってください。製品によっては URL やまとめたアーカイブも受け付けますが、それらは独自の失敗の仕方を持つ別個の対応方法です。証明書や鍵が別ファイルで届く場合は、何かを動かす前に、クライアントがどのように受け取る想定かを調べてください。.ovpn のテキストだけを別のマシンにコピーすると、参照されているパスはすべて存在しないファイルを指したままになり、表示されるエラーはインポートの欠落ではなくファイルの欠落について述べます。

これが一行で言うポータビリティの罠です：テキストは移動し、参照は移動しません。参照先のファイルをクライアントが文書化する配置に置くか、クライアントが対応しているならプロファイルをインライン形式に変換してください。

インライン素材と参照ファイル

インラインのプロファイルは CA、証明書、鍵をファイル内に持つため、自己完結して持ち運べますが、その中の鍵と同じくらい慎重に守るべき単一のオブジェクトでもあります。参照型のプロファイルはディスク上のパスを指定し、それはパスが存在し、クライアントが読み取り権限で動作する場所でしか機能しません。片方の形式だけを移すのがよくあるポータビリティの失敗で、インポートエラーではなく TLS エラーとして現れます。どちらの形式も、クライアントが依然としてサーバーを検証し使用可能な秘密鍵を必要とするため、セキュリティモデルを変えません。

インポートを通すために検証を無効にするプロファイルは、検査を進捗の見かけと引き換えたのです。実際の何かに接続する前に、その設定を元に戻してください。

拒否されたディレクティブはクライアントの不一致

デスクトップのクライアントが受け付けるディレクティブでも、モバイルのクライアントや簡素化されたデスクトップ版は拒否することがあり、スクリプトフック、ルーティングコマンド、一部のトランスポートオプションがこの分類に入ります。クライアントはいじわるをしているのではなく、強制できない指示を実行しないと言っているだけです。インポートのエラーは通常ディレクティブ名を示し、その名前は一般的な「インポートできません」というメッセージよりはるかに有用です。プロファイルを編集する前に、まずクライアント自身のドキュメントでその名前を検索してください。

インポートを通すためだけに、サーバー検証を外したり、未知のスクリプトを有効化したりしないでください。そのディレクティブをサポートするクライアントを探すか、実際に使っているクライアント向けに書かれたプロファイルを事業者に依頼してください。エラーを黙らせるために一行を削除すると、接続が保証する内容が変わり、その変更はインポートの後も残ります。

実際に起動するエントリを確認する

先ほどダウンロードしたファイルが先月インポートしたコピーを置き換えたとは限らないので、接続前に選択中のプロファイル名とサーバーの詳細を確認してください。接続の完了は最初の段階にすぎないため、接続後は、本当に必要とするリソースを試し、ルーティングと DNS の挙動を確認してください。プロファイルが拒否された場合は、インポートできてもサーバーに到達できないプロファイルとは別の問題なので、インポートの正確なメッセージとクライアントのバージョンを残してください。OpenVPN のマニュアルはプロファイルに含められるディレクティブを文書化しており、編集前に確認すべき参照先です。

置き換えが機能したら、クライアント自身の削除機能で古いエントリを引退させてください。ダウンロードからファイルを削除しても、アプリ内に保存された接続はそのまま残ります。最後に、次に担当する人が引退させるつもりのコピー経由で接続しないよう、どのプロファイル名が有効かを記録してください。