რას შეიცავს სინამდვილეში .ovpn ფაილი და რისი გაკეთება არ შეუძლია

ადამიანების უმეტესობა ფიქრობს, რომ .ovpn ფაილი VPN-ს აკონფიგურირებს. ასე არ არის: ის ერთ კლიენტს აკონფიგურირებს და ყველაფერი, რასაც მოითხოვს, უკვე უნდა არსებობდეს მეორე მხარეს. ფაილში ერთი ხაზის შეცვლა შეიძლება შეცვალოს ის, რასაც თქვენი მანქანა ცდილობს, მაგრამ არასდროს ის, რასაც სერვერი გვთავაზობს. სწორედ ეს განსხვავება ხსნის პროფილებთან დაკავშირებული დაბნეულობის უმეტეს ნაწილს, რომლებიც ვერ იმპორტირდება ან ვერ უკავშირდება.

წაიკითხეთ ფაილი, როგორც თქვენს კლიენტზე მიმართული მოთხოვნების სია და მისი ხაზების უმეტესობა ნათელი გახდება.

ფაილი აღწერს თქვენს კლიენტს და არა სერვერს

პროფილი აერთიანებს remote საბოლოო წერტილს, ტრანსპორტს, ინტერფეისის ტიპს, იდენტურობის მასალას და ნებისმიერ კლიენტის მხარის ქცევას, რომელიც ოპერატორს სურს. ყოველ ხაზს კლიენტი ასრულებს გაშვებისას. არცერთი მათგანი სერვერს არ აღწევს კონფიგურაციის ცვლილებად და არცერთს არ შეუძლია შექმნას მსმენელი, რომელიც უკვე არ მუშაობს. პროფილი, რომელიც TCP 443-ს ასახელებს იმ სერვერის წინააღმდეგ, რომელიც მხოლოდ UDP 1194-ზე უსმენს პირველივე პაკეტზე ვარდება.

ამიტომ ერთი და იგივე ფაილი ორ კლიენტზე სხვადასხვაგვარად იქცევა: ფაილი ითხოვს, კლიენტი კი წყვეტს, მოთხოვნის რამდენი ნაწილი შეუძლია შეასრულოს.

ტრანსპორტის ხაზები უნდა შეესაბამებოდეს უკვე არსებულ მსმენელს

proto და remote ხაზები უნდა შეესაბამებოდეს იმას, რასაც სერვერი რეალურად აკავშირებს. UDP ჩვეულებრივი არჩევანია, რადგან დაკარგული დატაგრამა ტუნელს არ აჩერებს, მაშინ როცა TCP-ს შეუძლია გაუძლოს შემზღუდველ ქსელებს ტუნელის შიგნით რიგის თავის ბლოკირების ფასად. პროფილის UDP-დან TCP-ზე გადართვა სერვერს TCP-ის მიღებას არ აიძულებს; ის მხოლოდ კლიენტს აიძულებს გაგზავნოს იმ პორტზე, რომელსაც არავინ კითხულობს.

პორტი 443 პოპულარულია, რადგან გადის ქსელებში, რომლებიც თითქმის სხვა არაფერს უშვებენ და ის რჩება OpenVPN სესიად და არა HTTPS მოთხოვნად. თუ ოპერატორი რამდენიმე remote ხაზს აქვეყნებს, კლიენტი მათ რიგრიგობით ცდის, რაც წარუმატებლობისას გადართვის სიაა და არა დატვირთვის განაწილების გადაწყვეტილება. შეინახეთ ოპერატორის მიერ მოწოდებული კომბინაციები და ნუ აურევთ ერთი ჩანაწერის ჰოსტს მეორის პორტს.

ჩაშენებული გასაღებები ცვლის ფაილთან მოპყრობის წესს

სერტიფიკატები და გასაღებები შეიძლება იყოს <ca>, <cert> და <key> ტეგებს შორის ჩაშენებული, ან მითითებული იყოს ცალკე ფაილებად. ჩაშენებული მასალა პროფილს თვითკმარი ხდის და ამავდროულად საიდუმლოსაც, რადგან კლიენტის კერძო გასაღები მის შიგნით მოძრაობს. CA სერტიფიკატი საჯარო ნდობის მასალაა და მისი გაზიარება უსაფრთხოა; კერძო გასაღები არა, თუნდაც ის წაუკითხავი ტექსტის ბლოკს ჰგავდეს.

გასაღების დამცავი პაროლური ფრაზა ანგარიშის პაროლისგან დამოუკიდებელი საიდუმლოა და მათი არევა იძლევა აუთენტიფიკაციის შეცდომას, რომელიც არასწორ რწმუნებულებას ჰგავს.

მარშრუტები და DNS შეიძლება საერთოდ არ მოვიდეს ფაილიდან

მარშრუტიზაცია შეიძლება სერვერმა უბიძგოს, პროფილმა დააყენოს redirect-gateway -ით, ან დარჩეს კლიენტის საკუთარ ნაგულისხმევ პარამეტრებზე. ამიტომ ჩამოტვირთული ფაილი სრულად არ განსაზღვრავს, სად წავა ტრაფიკი ტუნელის აწევის შემდეგ. როცა შიდა სახელები იხსნება, ხოლო საჯარო საიტები არა, გაყოფილი ტუნელის პოლიტიკა აკეთებს იმას, რისთვისაც შეიქმნა და არ მარცხდება.

DNS იგივე ნიმუშს მიჰყვება: უბიძგებული dhcp-option DNS შეიძლება კლიენტმა გამოიყენოს, უგულებელყოს ან ადგილობრივმა გადამწყვეტის მენეჯერმა გადაფაროს. დაკავშირების შემდეგ შეამოწმეთ გადამწყვეტის მდგომარეობა და ნუ გადაკითხავთ პროფილს.

მხარდაუჭერელი ოფციები კლიენტის ვერსიის საკითხია

იმპორტის გაფრთხილებები ჩვეულებრივ ნიშნავს, რომ კლიენტი დირექტივას არ ახორციელებს და არა იმას, რომ ფაილი დაზიანებულია. სამუშაო მაგიდის კლიენტებს შეუძლიათ სკრიპტებისა და დანამატების გაშვება დოკუმენტირებული კონტროლის ქვეშ, მობილური კლიენტები კი ვიწრო კომპლექტს იღებენ და შეიძლება ჩუმად გადააგდონ ის ხაზები, რომლებიც არ ესმით. დაშიფვრის ან TLS-ის პარამეტრი, რომელსაც ძველი კლიენტი უარყოფს, ვერსიის პრობლემაა და ოპერატორთან უნდა მოგვარდეს. უცხო პრივილეგიების ჩართვა იმპორტის იძულებისთვის გაფრთხილებას ცვლის უფრო ფართო თავდასხმის ზედაპირზე.

შეინახეთ ორიგინალი ფაილი შედარებისთვის, თქვენს მოთხოვნაში მიუთითეთ ზუსტი მხარდაუჭერელი დირექტივა და მოითხოვეთ პროფილი, რომელიც თქვენ მიერ რეალურად გაშვებული კლიენტისთვისაა აწყობილი.

ნებისმიერი ჩანაცვლების შემდეგ დაადასტურეთ, რომელ პროფილის ჩანაწერს იყენებს აპი, რადგან ახალი ფაილის იმპორტი ყოველთვის არ წერს ძველს ზემოდან.