Преносливост на OpenVPN профил: преносливи клучеви или опции на платформата

Истата .ovpn датотека отвора тунел во еден клиент и не стартува во друг, а сертификатот обично е првиот осомничен. Почесто датотеката содржи директива што ја спроведува само еден мотор. Профилот е договор со определен клиент, а не пренослива скрипта.

Одвојте го она што патува со идентитетот од она што ѝ припаѓа на платформата. Тогаш неуспехот обично сам се именува.

Една датотека, два договори

Профилот обединува три вида содржина: идентитетски материјал како CA и клиентски сертификати и приватниот клуч, транспортни факти како оддалечената крајна точка и протоколот, и директиви за однесување како ракување со DNS или опции на уредот. Првите две се широко преносливи меѓу мотори што го поддржуваат истиот протокол. Третата е местото каде што имплементациите се разидуваат. Третирањето на целата датотека како една пренослива единица е она што ги создава збунувачките неуспеси.

Датотека што работи во GUI на една платформа не е автоматски валидна за клиентот со командна линија на друга. Дури и кога и двете се OpenVPN, парсерите и множествата опции се разликуваат. Затоа успешниот увоз не е доказ за пренослив профил.

Пренослив материјал наспроти директиви на платформата

Деловите за идентитет и транспорт се делот што треба да се зачува. ca, cert, key и remote опишуваат кој се поврзува и каде, и тие значат исто за секој соодветен клиент.

Директивите за однесување се делот што треба да се спореди. block-outside-dns, на пример, постои за да го промени однесувањето на DNS во Windows. Unix клиентот може воопшто да не го препознае.

Читајте ја листата со опции на клиентот што прима, а не на оној што испраќа. Референтниот прирачник за OpenVPN 2.6 ги документира опциите на моторот, а дијалогот за увоз на GUI не е таа листа.

Прочитајте ја грешката на парсерот пред сертификатот

Грешка што именува непрепознаена опција е дефект на парсерот, а не дефект на автентикацијата. Врската никогаш не стигна до TLS, па менувањето сертификати не може да помогне. Прочитајте ја првата грешка од вистинскиот клиент и верзијата, потоа отстранете или заменете само онаа директива што тој клиент не може да ја спроведе. Бришењето на деловите за сертификат или рути за да се вчита датотеката е патот по кој работен профил станува небезбеден.

Ако грешката го спомнува ракувањето, сертификат или шифра, профилот е парсиран и проблемот е на друго место.

Чувајте ја оригиналната датотека покрај прилагодената. Кога прилагодената датотека подоцна ќе откаже, оригиналот е контролата што кажува дали се поместила промената или околината.

Привилегиите се втора граница

Привилегиите се другата граница: создавањето тунелски уред, инсталирањето рути и читањето приватен клуч зависат од локални дозволи. Датотека со клуч што може да ја чита само root е нормално распоредување, а не дефект на профилот. Исправката припаѓа на сопственоста или способностите, не на датотеката.

Извршувањето на клиентот со sudo може да реши локално одбивање дозвола, и не може да додаде директива што бинарниот не ја спроведува. Исто така менува чиј привезок со клучеви, кои патеки на конфигурација и кој контекст на мрежниот менаџер важат, па резултатот не е истиот тест.

Прилагодете намерно

Кога давателот објавува одделни профили, земете го оној наменет за клиентот што прима. Прилагодувањето на датотека од друга платформа е последно средство. Бара запис за секоја променета опција и копија од оригиналот.

Тестирајте идентитет, рутирање и DNS како три одделни исходи. Профил што се автентицира и рутира, но ја крши резолуцијата на имиња, е делумно прилагоден профил, а не работен.