Ko .ovpn fails patiešām satur un ko tas nespēj izdarīt

Lielākā daļa cilvēku pieņem, ka .ovpn fails konfigurē VPN. Tas tā nedara: tas konfigurē vienu klientu, un visam, ko tas pieprasa, jau jābūt otrā pusē. Rindas maiņa failā var mainīt to, ko mēģina jūsu mašīna, nekad to, ko piedāvā serveris. Šī atšķirība izskaidro lielāko daļu neskaidrības ap profiliem, kurus nevar importēt vai savienot.

Lasiet failu kā jūsu klientam adresētu pieprasījumu sarakstu, un lielākā daļa tā rindu kļūs acīmredzamas.

Fails apraksta jūsu klientu, nevis serveri

Profils apvieno remote-galapunktu, transportu, saskarnes tipu, identitātes materiālu un jebkuru klienta puses uzvedību, ko vēlas operators. Katru rindu klienta palaišanas laikā izpilda klients. Neviena no tām nenonāk serverī kā konfigurācijas izmaiņa, un neviena nevar izveidot klausītāju, kas jau nedarbojas. Profils, kas nosauc TCP 443 pret serveri, kurš klausās tikai UDP 1194 neizdodas jau pirmajā paketē.

Tāpēc viens un tas pats fails divos klientos uzvedas atšķirīgi: fails lūdz, un klients izlemj, cik lielu daļu pieprasījuma tas var izpildīt.

Transporta rindām jāatbilst jau esošam klausītājam

proto un remote rindām jāsaskan ar to, ko serveris patiešām piesaista. UDP ir ierastā izvēle, jo pazaudēts datagramma neaptur tuneli, savukārt TCP var izdzīvot ierobežotos tīklos uz rindas galvas bloķēšanas rēķina tuneļa iekšpusē. Profila pārslēgšana no UDP uz TCP neliek serverim pieņemt TCP; tā tikai liek klientam sūtīt uz portu, kuru neviens nelasa.

443. ports ir populārs, jo tas iziet cauri tīkliem, kuri gandrīz neko citu nepieļauj, un tas paliek OpenVPN sesija, nevis HTTPS pieprasījums. Ja operators publicē vairākas remote rindas, klients tās izmēģina pēc kārtas, kas ir pārslēgšanās saraksts kļūmes gadījumā, nevis slodzes līdzsvarošanas lēmums. Saglabājiet operatora piegādātās kombinācijas, nevis sajauciet viena ieraksta resursdatoru ar cita portu.

Iekļautās atslēgas maina to, kā rīkojaties ar failu

Sertifikāti un atslēgas var atrasties iekļauti starp <ca>, <cert> un <key> tagiem, vai arī uz tiem var atsaukties kā uz atsevišķiem failiem. Iekļautais materiāls padara profilu pašpietiekamu un vienlaikus padara to par noslēpumu, jo klienta privātā atslēga ceļo tā iekšienē. CA sertifikāts ir publisks uzticības materiāls, un to ir droši kopīgot; privātā atslēga nav, pat ja tā izskatās kā neizlasāms teksta bloks.

Paroles frāze, kas aizsargā atslēgu, ir atsevišķs noslēpums no konta paroles, un to sajaukšana rada autentifikācijas kļūdu, kas izskatās kā nepareizi akreditācijas dati.

Maršruti un DNS var vispār nenākt no faila

Maršrutēšanu var uzspiest serveris, to var iestatīt profils ar redirect-gateway, vai arī tā var palikt klienta paša noklusējuma vērtībās. Tāpēc lejupielādētais fails pilnībā nenosaka, kur satiksme dosies pēc tuneļa pacelšanas. Kad iekšējie nosaukumi tiek atrisināti, bet publiskās vietnes ne, sadalītā tuneļa politika dara to, kam tā bija paredzēta, nevis cieš neveiksmi.

DNS seko tam pašam modelim: uzspiesto dhcp-option DNS klients var piemērot, ignorēt, vai vietējais atrisinātāja pārvaldnieks to var pārrakstīt. Pēc savienojuma pārbaudiet atrisinātāja stāvokli, nevis lasiet profilu vēlreiz.

Neatbalstītās opcijas ir klienta versijas jautājums

Importēšanas brīdinājumi parasti nozīmē, ka klients neievieš direktīvu, nevis to, ka fails ir bojāts. Darbvirsmas klienti var palaist skriptus un spraudņus dokumentētas kontroles ietvaros, savukārt mobilie klienti pieņem šaurāku kopumu un var klusi izmest rindas, kuras nesaprot. Šifra vai TLS iestatījums, ko atsaka vecāks klients, ir versijas problēma, kas jārisina ar operatoru. Nepazīstamu privilēģiju iespējošana, lai piespiestu importu, apmaina brīdinājumu pret plašāku uzbrukuma virsmu.

Saglabājiet oriģinālo failu salīdzināšanai, savā pieprasījumā norādiet precīzo neatbalstīto direktīvu un pieprasiet profilu, kas veidots tam klientam, kuru jūs patiešām izmantojat.

Pēc jebkuras aizstāšanas pārliecinieties, kuru profila ierakstu lietotne izmanto, jo jauna faila importēšana ne vienmēr pārraksta veco.