Wéi ee Server vun engem OpenVPN-Profil virum Import iwwerpréift

Een schéckt Iech e Profil, Dir importéiert en, an drësseg Sekonnen duerno wielt e Client en Zil un, dee kee gepréift huet. Liest d'Fichier als éischt an engem Textediteur, well alles wat zielt an enger Handvoll Direktiven ass: remote, proto, port, ca, cert, tls-crypt an verify-x509-name. Alles anescht sinn Standardwäerter, an do wunnen d'Iwwerraschungen.

Zielt all Endpunkt op, dee d'Fichier ka benotzen

Fänkt mat den Endpunkten un, well ee Profil der méi ka enthalen. grep -nE '^[[:space:]]*(remote|proto|port|remote-random|connection)' profile.ovpn dréckt all Kandidat an der Fichiersuerdnung, och déi, déi an inline <connection>-Bléck agebaut sinn.

Wann eng Direktiv de Port ewechloosst, fält de Client op de Standardwäert vum Lauschterer zréck, also bedeit just remote vpn.example.com Port 1194 mat egal wéiem proto deen herno an der Fichier optaucht. Méi einfach remote-Linnen sinn Alternativen: de Client probéiert se an der Rei, ausser remote-random mengt se duercheraner, an et ersetzt ni stillem e Host vun engem aneren Operateur. Zwou remote-Linne op onofhängegen Domaine sinn de Punkt, wou Dir stoppt a frot, wéi eng gemengt war.

Kuckt och op d'Schreifweis vu proto. tcp gëtt als Synonym fir de clientsäitegen tcp-client akzeptéiert, awer tcp-server an engem Clientprofil ass e Konfiguratiounsfehler, deen éischter hänkt wéi propper feelt.

Bestätegt den Numm, duerno de Port

dig +short vpn.example.com seet Iech, ob den Numm existéiert a wéi eng Adressen en zréckgëtt, an en Endpunkt mat méi Adressen oder hannert engem Proxy kann legitimerweis der méi zréckginn. D'Nummopléisen ass eng Viraussetzung, keen Beweis vu Besëtz; jiddereen kann en Numm op eng Adress weisen, an eng Adress ka fir vill Nimm äntweren.

Duerno préift de Lauschterer op dem Port, deen Dir fonnt hutt, passend zum Transport. Iwwer TCP dréckt openssl s_client -connect vpn.example.com:1194 -servername vpn.example.com d'Kette, déi de Server presentéiert. Iwwer UDP brauch Dir DTLS: openssl s_client -dtls1_2 -connect vpn.example.com:1194 mécht déi selwecht Handshake iwwer Datagrammen. Eng ofgeschlossen Handshake beweiseet, datt eppes lauschtert an en Zertifikat huet, wat méi ass wéi e Ping weist a manner wéi d'Vertrauensastellunge vum Profil selwer verlaangen.

Wann d'Handshake feelt an den Host um Ping äntwert, ass de Port wuel falsch oder gefiltert. Huelt dat als Grond, de richtege Port ze froen, net als Invitatioun, déi nawescht ze duerchkämmen. nc -vzu mellt op e puer Stäck och Erfolleg, wou näischt lauschtert, also bedeit e blosse UDP-Test näischt ouni Handshake hannendrun.

Liest d'Vertrauenspinen getrennt vun der Adress

D'Adress entscheet, wou de Client higeet; de Vertrauensblock entscheet, wiem en nogeet. verify-x509-name "vpn.example.com" name pinnt den allgemengen Numm vum Sujet, an remote-cert-tls server verlaangt déi erweidert Schlësselbenotzung fir d'Serverauthentifikatioun. E Profil, deen een Operateur Iech gëtt, sollt béides droen.

Sicht ca, en inline <ca>-Block an entweder tls-crypt oder tls-auth. E Profil mat tls-auth brauch key-direction 1 um Client, wann d'Serversäit Richtung 0 benotzt, an eng Onstëmmegkeet feelt d'Handshake mat engem TLS-Fehler, deen als Zertifikatsfehler gelies gëtt. En inline CA, deen net zu deem Operateur gehéiert, deem säin Numm Dir just opgeléist hutt, heescht datt d'Fichier aus zwee Quelle zesummegesat gouf, an dat ass de Fall, dee wäert ass, decidéiert ofzeleenen.

verify-x509-name hëlt d'Modi name, name-prefix oder subject, an de leschten erwaart een vollstännegen ënnerscheede Numm an der geneeër Uerdnung, wéi de Server en dréckt. Wielt ee Modus, dee mat der Form vum Wäert passt, well de Client all Verbindung ofleent, amplaz virun engem balen Treffer ze warnen. Fir eng Fichier, déi Dir net geschriwwen hutt, ass name mat engem einfachen Hostnumm déi mannst iwwerraschend Wiel.

Préift d'Optiounen, déi stillem feelen

OpenVPN 2.6 handelt d'Chiffren iwwer data-ciphers aus, an e Profil mat nëmmen enger aler cipher AES-256-CBC-Linn kann de Kontrollkanal fäerdeg maachen an dann op den Donnéeën hänken. Dee Wäert ze liesen seet Iech, ob d'Fichier méi al ass wéi de Server, deen Dir bäitrëtt; d'Manpage vun 2.6 zielt d'Ausverhandlungsuerdnung op, wann Dir se dem Operateur misst zitéieren.

auth-user-pass ouni Dateinumm bedeit, datt de Client frot, also brauch e Profil, dee selbststänneg ausgesäit, nach Ëmmer Umeldungsdaten. auth-user-pass credentials.txt bedeit, datt en eng Fichier erwaart, déi Iech wuel net geschéckt gouf. nobind an resolv-retry infinite sinn gewéinlech an harmlos, wärend explicit-exit-notify just fir UDP ass a iwwer TCP sënnlos.

Näischt dovun ännert, wou de Profil sech verbënnt, awer jiddwer een ännert, ob en iwwerhaapt sech verbënnt, an keen dovun ass am Importdialog vum Client ze gesinn.

Entscheet, dann notéiert, wat Dir entscheet hutt

No dësem Liesen gëtt et dräi Resultater, an nëmmen ee ass Import. Wann den Endpunkt an d'Pinnen zu den Instruktioune passen, déi Dir iwwer en anere Kanal kritt hutt, importéiert en. Wann den Endpunkt richteg ausgesäit, awer d'Pinnen oder d'CA net passen, frot eng korrigéiert Fichier. Wann d'Fichier Endpunkten oder CA-Material aus verschiddene Quelle vermëscht, läscht se a frot eng frësch Kopie.

Notéiert de Hash, deen Dir iwwerpréift hutt, sou datt déi nächst Persoun weess, ob d'Fichier sech geännert huet: sha256sum profile.ovpn, nieft dem Endpunkt an Ären Notizen ageklebt. E Profil ass eng ganz Arrangement, keng Lëscht vun Adressen, also setzt ni e funktionéierende remote an engem aneren sengem Vertrauensblock an behält der hir Umeldungsdaten.

Halt privat Schlësselen a Passwierder aus Screenshots a Chatthreads, wärend Dir Notize vergläicht. Den Endpunkt an d'net-geheim Optiounen duer, fir eng precis Fro ze stellen, an de Rescht gehéiert an d'Fichier.

Wann Dir en awer importéiert an den éischte Versuch feelt, start de Client mat --verb 3 a liest déi éischt zéng Zeilen: déi opgeléist remote-Adress, dee ausgehandelte proto an den TLS-Fehler erschéngen an där Uerdnung, wat Iech seet, wéi eng vun den uewege Kontrollen Dir iwwersprong hutt.