Ką .ovpn failas iš tikrųjų turi ir ko jis negali padaryti

Dauguma žmonių mano, kad .ovpn failas konfigūruoja VPN. Taip nėra: jis konfigūruoja vieną klientą, ir viskas, ko jis prašo, jau turi egzistuoti kitoje pusėje. Eilutės pakeitimas faile gali pakeisti tai, ką bando jūsų mašina, bet niekada to, ką siūlo serveris. Šis skirtumas paaiškina didžiąją dalį painiavos dėl profilių, kurių nepavyksta importuoti ar prisijungti.

Skaitykite failą kaip jūsų klientui adresuotų užklausų sąrašą, ir dauguma jo eilučių taps akivaizdžios.

Failas aprašo jūsų klientą, o ne serverį

Profilis sujungia remote-galinį tašką, perdavimą, sąsajos tipą, tapatybės medžiagą ir bet kokį kliento pusės elgesį, kurio nori operatorius. Kiekvieną eilutę klientas vykdo paleidimo metu. Nė viena iš jų nepasiekia serverio kaip konfigūracijos pakeitimas, ir nė viena negali sukurti klausytuvo, kuris jau neveikia. Profilis, nurodantis TCP 443 serveriui, kuris klausosi tik UDP 1194 nepavyksta jau pirmame pakete.

Štai kodėl tas pats failas dviejuose klientuose elgiasi skirtingai: failas prašo, o klientas nusprendžia, kiek užklausos jis gali įvykdyti.

Perdavimo eilutės turi atitikti jau egzistuojantį klausytuvą

proto ir remote eilutės turi sutapti su tuo, ką serveris iš tikrųjų susieja. UDP yra įprastas pasirinkimas, nes prarastas datagramas nesustabdo tunelio, o TCP gali išgyventi ribotuose tinkluose už eilės galvos blokavimo tunelio viduje kainą. Profilio perjungimas iš UDP į TCP nepriverčia serverio priimti TCP; jis tik priverčia klientą siųsti į prievadą, kurio niekas neskaito.

443 prievadas populiarus, nes jis praeina per tinklus, kurie beveik nieko kito neleidžia, ir jis lieka OpenVPN sesija, o ne HTTPS užklausa. Jei operatorius paskelbia kelias remote eilutes, klientas bando jas iš eilės, o tai yra perjungimo gedimo atveju sąrašas, o ne apkrovos balansavimo sprendimas. Išsaugokite operatoriaus pateiktus derinius, o ne maišykite vieno įrašo mazgą su kito prievadu.

Įterpti raktai keičia tai, kaip elgiatės su failu

Sertifikatai ir raktai gali būti įterpti tarp <ca>, <cert> ir <key> žymų arba nurodyti kaip atskiri failai. Įterpta medžiaga padaro profilį savarankišką ir kartu paverčia jį paslaptimi, nes kliento privatusis raktas keliauja jo viduje. CA sertifikatas yra viešoji pasitikėjimo medžiaga ir jį saugu bendrinti; privatusis raktas ne, net kai jis atrodo kaip neįskaitomas teksto blokas.

Slaptažodžio frazė, sauganti raktą, yra atskira paslaptis nuo paskyros slaptažodžio, ir jų supainiojimas sukelia autentifikavimo klaidą, kuri atrodo kaip neteisingi prisijungimo duomenys.

Maršrutai ir DNS gali visai neateiti iš failo

Maršrutizavimą gali stumti serveris, nustatyti profilis su redirect-gateway, arba jis gali likti kliento numatytosiose reikšmėse. Todėl atsisiųstas failas ne iki galo nustato, kur eis srautas po to, kai tunelis pakils. Kai vidiniai vardai išsprendžiami, o viešos svetainės ne, padalinto tunelio politika daro tai, kam buvo sukurta, o ne nepavyksta.

DNS laikosi to paties modelio: stumiamą dhcp-option DNS klientas gali taikyti, ignoruoti arba vietinis sprendiklio tvarkytuvas gali jį perrašyti. Patikrinkite sprendiklio būseną po prisijungimo, o ne skaitykite profilį dar kartą.

Nepalaikomos parinktys yra kliento versijos klausimas

Importavimo įspėjimai paprastai reiškia, kad klientas neįgyvendina direktyvos, o ne kad failas sugadintas. Darbalaukio klientai gali vykdyti scenarijus ir papildinius pagal dokumentuotą kontrolę, o mobilieji klientai priima siauresnį rinkinį ir gali tyliai atsisakyti eilučių, kurių nesupranta. Šifro ar TLS nustatymas, kurį atmeta senesnis klientas, yra versijos problema, kurią reikia spręsti su operatoriumi. Nežinomų privilegijų įjungimas siekiant priverstinai importuoti iškeičia įspėjimą į platesnį atakos paviršių.

Išsaugokite originalų failą palyginimui, savo užklausoje nurodykite tikslią nepalaikomą direktyvą ir paprašykite profilio, sukurto klientui, kurį iš tikrųjų naudojate.

Po bet kokio pakeitimo patvirtinkite, kurį profilio įrašą naudoja programa, nes naujo failo importavimas ne visada perrašo senąjį.