Portabilitéit vum OpenVPN-Profil: portabel Schlësselen oder Plattformoptiounen

Déiselwecht .ovpn-Datei mécht en Tunnel an engem Client op a startet an engem aneren net, an d'Zertifikat ass meeschtens den éischten Verdächtegen. Méi dacks enthält d'Datei eng Direktiv, déi nëmmen eng Engine ëmsetzt. E Profil ass e Kontrakt mat engem bestëmmte Client, keen portable Skript.

Trennt dat, wat mat der Identitéit reest, vun deem, wat zu enger Plattform gehéiert. Dann nennt de Feeler sech meeschtens selwer.

Eng Datei, zwee Kontrakter

E Profil bündelt dräi Aarte vun Inhalt: Identitéitsmaterial wéi CA- a Clientzertifikater an de private Schlëssel, Transportfakten wéi de Remote-Endpunkt an de Protokoll, an Direktive fir d'Verhalen wéi DNS-Behandlung oder Apparatoptiounen. Déi éischt zwou sinn iwwerall portabel tëschent Engines, déi deeselwechten Protokoll ënnerstëtzen. Déi drëtt ass do, wou d'Ëmsetzungen auseenengoen. Déi ganz Datei als eng eenzeg portabel Eenheet ze behandelen ass dat, wat déi verwirrend Feeler produzéiert.

Eng Datei, déi an enger GUI op enger Plattform funktionéiert, ass net automatesch gëlteg fir de Kommandozeil-Client op enger anerer. Och wann allebéid OpenVPN sinn, ënnerscheede sech d'Parser an d'Optiounssätz. Dofir ass en erfollegräichen Import kee Beweis fir e portabelt Profil.

Portabelt Material géint Plattformdirektiven

D'Identitéits- an Transportsektioune sinn den Deel, deen erhalen bleiwe soll. ca, cert, key an remote beschreiwen, wien sech wou verbënnt, a si bedeiten datselwecht fir all konforme Client.

Verhaltensdirektive sinn den Deel, deen ee vergläiche soll. block-outside-dns existéiert zum Beispill, fir d'DNS-Verhalen ënner Windows z'änneren. En Unix-Client erkennt se vläicht guer net.

Liest d'Optiounslëscht vum empfangende Client amplaz vun där vum sendenden. Den OpenVPN 2.6 Referenzhandbuch dokumentéiert d'Optiounen vun der Engine, an den Importdialog vun enger GUI ass net déi Lëscht.

Liest de Parserfeeler virum Zertifikat

E Feeler, deen eng onbekannt Optioun nennt, ass e Parserfeeler, keen Authentifikatiounsfeeler. D'Verbindung ass ni op TLS ukomm, dofir hëlleft et net, Zertifikater ze wiesselen. Liest den éischte Feeler vum tatsächleche Client an der Versioun a läscht oder ersetzt dann nëmmen déi Direktiv, déi dee Client net ëmsetze kann. Zertifikats- oder Routensektioune läschen, fir datt d'Datei lued, ass de Wee, op deem en funktionéierende Profil onsesécher gëtt.

Wann de Feeler den Handshake, en Zertifikat oder eng Verschlësselung ernimmt, gouf de Profil geparst an de Problem läit soss anzwousch.

Hält d'Originaldatei nieft där ugepasster. Wann déi ugepasst Datei méi spéit feelt, ass d'Original d'Kontroll, déi seet, ob d'Ännerung oder d'Ëmfeld sech beweegt huet.

Privilegien sinn eng zweet Grenz

Privilegie sinn déi aner Grenz: en Tunnelapparat uleeën, Route installéieren an e private Schlëssel liesen hänkt alles vu lokale Berechtegungen of. Eng Schlësseldatei, déi nëmme root liese kann, ass eng normal Deployement, keen Deffet vum Profil. D'Korrektur gehéiert zur Proprietéit oder zu de Fäegkeeten, net an d'Datei.

De Client mat sudo lafen ze loossen, kann eng lokal Berechtegungsverweigerung léisen, an et kann keng Direktiv bäisetzen, déi de Binär net ëmsetzt. Et ännert och, wéi engem Benotzer säi Schlësselring, seng Konfiguratiounspfad an de Kontext vum Netzmanager gëllen, dofir ass d'Resultat net deeselwechte Test.

Passt bewosst un

Wann en Ubider separat Profiler publizéiert, hëlt dee fir den empfangende Client. D'Datei vun enger anerer Plattform upassen ass ee leschte Mëttel. Et brauch eng Opzeechnung vun all geännertem Optioun an eng Kopie vum Original.

Test d'Identitéit, d'Routéierung an DNS als dräi getrennt Resultater. E Profil, deen sech authentifizéiert a routéiert, awer d'Nimmopklärung brécht, ass e deelweis ugepasste Profil, keen funktionéierend.