Wat eng .ovpn-Datei tatsächlech enthält, a wat si net ka maachen

Déi meescht Leit huelen un, datt eng .ovpn-Datei e VPN konfiguréiert. Dat mécht si net: si konfiguréiert ee Client, an alles, wat si freet, muss op der anerer Säit schonn existéieren. Eng Linn an der Datei z’änneren kann änneren, wat Äre Rechner versicht, ni wat de Server ubitt. Dee Ënnerscheed erkläert de gréissten Deel vun der Verwirrung ronderëm Profiler, déi sech net importéiere loossen oder sech net verbannen.

Liest d’Datei als eng Lëscht vun Ufroen, déi un Äre Client adresséiert sinn, an déi meescht vun hire Linnen gëtt selbstverständlech.

D’Datei beschreift Äre Client, net de Server

E Profil bündelt en remote-Endpunkt, en Transport, en Interface-Typ, Identitéitsmaterial an all clientseit Verhalen, dat den Operateur wëll. All Linn gëtt beim Start vum Client ausgefouert. Keng dovun erreecht de Server als Konfiguratiounsännerung, a keng kann en Nolauschterer schafen, dee schonn net leeft. E Profil, deen TCP 443 nennt géint e Server, deen nëmmen op UDP 1194 lauschtert fält um éischte Paket.

Duerfir verhält sech déiselwecht Datei op zwee Cliente verschidden: d’Datei freet, an de Client entscheet, wéi vill vun der Ufro hien erfëllen kann.

Transportlinne mussen zu engem Nolauschterer passen, deen et schonn gëtt

proto an remote Linnen mussen deem entspriechen, wat de Server tatsächlech bindet. UDP ass déi gewéinlech Wiel, well en verluerene Datagramm den Tunnel net ophält, während TCP restriktiv Netzwierker iwwerliewe kann um Präis vun enger Blockad um Kapp vun der Schlaang am Tunnel. En Profil vun UDP op TCP ëmstellen mécht net, datt de Server TCP akzeptéiert; et mécht nëmmen, datt de Client op eng Port schéckt, déi keen liest.

Port 443 ass populär, well en duerch Netzwierker geet, déi bal näischt anescht erlaben, an et bleift eng OpenVPN Sessioun anstatt en HTTPS-Ufro. Wann den Operateur verschidde remote Linnen publizéiert, probéiert de Client se an der Rei, wat eng Failover-Lëscht ass an net eng Decisioun iwwer Laaschtverdeelung. Hält d’Kombinatiounen, déi den Operateur geliwwert huet, amplaz en Host aus engem Andrag mat enger Port aus engem aneren ze mëschen.

Agebett Schlësselen änneren, wéi Dir d’Datei behandelt

Zertifikater a Schlësselen kënnen agebett tëschent den Tagen <ca>, <cert> an <key> stoen, oder als separat Dateie referenzéiert ginn. Agebett Material mécht de Profil selbststänneg a mécht en och zu engem Geheimnis, well de private Schlëssel vum Client dobannen ënnerwee ass. En CA-Zertifikat ass ëffentlecht Vertrauensmaterial a sécher ze deelen; e private Schlëssel net, och wann en wéi en onliesbare Textblock ausgesäit.

D’Passphrase, déi e Schlëssel schützt, ass en eegent Geheimnis vum Kontopasswuert, a si ze verwiesselen ergëtt eng Authentifizéierungsfeeler, déi wéi falsch Umeldungsdaten ausgesäit.

Routen an DNS kommen eventuell guer net aus der Datei

Routing kann vum Server gedréckt ginn, vum Profil mat redirect-gateway gesat ginn, oder et kann bei den eege Standardastellunge vum Client bleiwen. D’Datei, déi Dir erofgelueden hutt, bestëmmt dofir net komplett, wou den Trafik higeet, nodeems den Tunnel eropkoum. Wa intern Nimm sech opléisen an ëffentlech Säiten net, mécht d’Split-Tunnel-Politik dat, wofir si entworf ginn ass, a versot net.

DNS follegt demselwe Muster: eng gedréckte dhcp-option DNS kann vum Client ugewannt, ignoréiert oder vun engem lokale Resolver-Manager iwwerschriwwe ginn. Iwwerpréift den Zoustand vum Resolver no der Verbindung amplaz de Profil nach eng Kéier ze liesen.

Net ënnerstëtzten Optiounen sinn eng Fro vun der Clientversioun

Importwarnunge bedeiten normalerweis, datt de Client eng Direktiv net ëmsetzt, net datt d’Datei beschiedegt ass. Desktop-Cliente kënnen Skripten a Plugins ënner dokumentéierte Kontrollen ausféieren, während mobil Cliente eng méi enk Rei akzeptéieren a Linnen, déi si net verstinn, stëll kënne fale loossen. Eng Cipher- oder TLS-Astell, déi en eelere Client refuséiert, ass e Versiounsproblem, dat mam Operateur ze léisen ass. Onbekannt Rechter aktivéieren, fir en Import ze forcéieren, tauscht eng Warnung géint eng méi breet Ugriffsfläch.

Hält d’Originaldatei fir de Verglach, notéiert déi genee net ënnerstëtzt Direktiv an Ärer Ufro, a frot en Profil, dee fir de Client gebaut ass, deen Dir tatsächlech lafe loosst.

No all Ersatz bestätegt, wéi Profil-Andrag d’App benotzt, well en neit Datei importéieren net ëmmer dat aalt iwwerschreift.