.ovpn файлында чындыгында эмне бар жана эмнени кыла албайт

Көпчүлүк адамдар .ovpn файлы VPNди конфигурациялайт деп ойлошот. Андай эмес: ал бир кардарды конфигурациялайт жана ал сурагандын баары экинчи тарапта мурунтан эле болушу керек. Файлдагы сапты өзгөртүү машинаңыз эмнени аракет кылаарын өзгөртө алат, бирок сервер эмнени сунуштаарын эч качан өзгөртпөйт. Ушул айырма импорттолбой же туташпай калган профилдер боюнча түшүнбөстүктүн көп бөлүгүн түшүндүрөт.

Файлды кардарыңызга арналган сурамдардын тизмеси катары окуңуз, ошондо анын көп саптары түшүнүктүү болот.

Файл кардарыңызды сүрөттөйт, серверди эмес

Профиль төмөнкүлөрдү бириктирет: remote акыркы чекитин, транспортту, интерфейс түрүн, инсандык материалын жана оператор каалаган ар кандай кардар тараптуу жүрүм-турумду. Ар бир сапты кардар ишке кирүүдө аткарат. Алардын эч бири конфигурация өзгөрүүсү катары серверге жетпейт жана эч бири мурунтан иштебей жаткан угуучуну түзө албайт. UDP 1194 боюнча гана угуучу серверге каршы TCP 443ти көрсөткөн профиль биринчи пакетте эле ийгиликсиз болот.

Ошондуктан бир эле файл эки кардарда башкача жүрүм-турум көрсөтөт: файл сурайт, ал эми кардар сурамдын канча бөлүгүн аткара аларын чечет.

Транспорт саптары мурунтан бар угуучуга дал келиши керек

proto жана remote саптары сервер чындыгында байланыштырган нерсеге дал келиши керек. UDP адаттагы тандоо, анткени жоголгон датаграмма туннелди токтотпойт, ал эми TCP туннелдин ичиндеги кезек башынын бөгөлүшүнүн эсебинен чектелген тармактарда туруштук бере алат. Профилди UDPтен TCPке которуу серверди TCP кабыл алууга мажбурлабайт; ал кардарды эч ким окубаган портко жөнөтүүгө гана мажбурлайт.

443 порту белгилүү, анткени ал башка эч нерсеге дээрлик жол бербеген тармактардан өтөт жана ал OpenVPN сессиясы болуп калат, HTTPS сурамы эмес. Эгер оператор бир нече remote сабын жарыяласа, кардар аларды тартиби менен текшерет, бул жүктү теңдөө чечими эмес, бузулуу учурунда которулуу тизмеси. Оператор берген айкалыштарды сактаңыз, бир жазуунун хостун экинчисинин порту менен аралаштырбаңыз.

Киргизилген ачкычтар файл менен иштөө ыкмасын өзгөртөт

Сертификаттар жана ачкычтар <ca>, <cert> жана <key> тегдеринин ортосунда киргизилген тура алат, же өзүнчө файлдар катары шилтемелене алат. Киргизилген материал профилди өзүн-өзү камсыз кылган кылып, аны сырга да айландырат, анткени кардардын жеке ачкычы анын ичинде жүрөт. CA сертификаты ачык ишеним материалы жана аны бөлүшүү коопсуз; жеке ачкыч андай эмес, ал тургай ал окулбаган текст блогуна окшошсо да.

Ачкычты коргогон сырсөз каттоо эсебинин сырсөзүнөн өзүнчө сыр жана аларды аралаштыруу туура эмес эсептик маалыматтарга окшош аутентификация катасын жаратат.

Маршруттар жана DNS файлдан таптакыр келбеши мүмкүн

Маршруттоону сервер түртүп жибериши мүмкүн, профиль аны redirect-gateway аркылуу коюшу мүмкүн же ал кардардын өзүнүн демейки маанилеринде калышы мүмкүн. Ошондуктан жүктөп алган файл туннел көтөрүлгөндөн кийин трафиктин кайда кетерин толук аныктабайт. Ички аттар чечилип, ачык сайттар чечилбесе, бөлүнгөн туннел саясаты өзү үчүн жасалганды аткарып жатат, ийгиликсиздикке учурап жаткан жок.

DNS ошол эле үлгүнү карманат: түртүлгөн dhcp-option DNS кардар колдонушу, этибарга албашы же жергиликтүү чечүүчү менеджери аны кайра жазышы мүмкүн. Профилди кайра окуунун ордуна туташкандан кийин чечүүчүнүн абалын текшериңиз.

Колдоого алынбаган опциялар кардар версиясынын маселеси

Импорт эскертүүлөрү адатта кардар директиваны ишке ашырбай жатканын билдирет, файл бузулганын эмес. Иш тактасындагы кардарлар документтелген көзөмөлдө скрипттерди жана плагиндерди иштете алат, ал эми мобилдик кардарлар тар топтомду кабыл алат жана түшүнбөгөн саптарды үнсүз ташташы мүмкүн. Эски кардар четке каккан шифр же TLS жөндөөсү — оператор менен чечилүүчү версия маселеси. Импортту мажбурлоо үчүн тааныш эмес артыкчылыктарды күйгүзүү эскертүүнү кененирээк чабуул бетине алмаштырат.

Салыштыруу үчүн түпнуска файлды сактаңыз, сурамыңызда так колдоого алынбаган директиваны жазыңыз жана сиз чындыгында иштетип жаткан кардар үчүн курулган профилди сураңыз.

Ар кандай алмаштыруудан кийин колдонмо кайсы профиль жазуусун колдонуп жатканын ырастаңыз, анткени жаңы файлды импорттоо эскисин дайыма кайра жазбайт.