Што всушност содржи една .ovpn-датотека и што не може да направи

Повеќето луѓе претпоставуваат дека .ovpn-датотеката конфигурира VPN. Тоа не е така: таа конфигурира еден клиент и сето она што го бара мора веќе да постои на другата страна. Менувањето на линија во датотеката може да смени што се обидува вашата машина, но никогаш што нуди серверот. Токму таа разлика ја објаснува поголемиот дел од збунетоста околу профилите што не можат да се увезат или поврзат.

Читајте ја датотеката како список на барања упатени до вашиот клиент и повеќето нејзини линии ќе станат очигледни.

Датотеката го опишува вашиот клиент, а не серверот

Профилот обединува remote крајна точка, транспорт, тип на интерфејс, идентификациски материјал и какво било однесување на клиентската страна што операторот го сака. Секоја линија клиентот ја извршува при стартување. Ниту една од нив не стигнува до серверот како промена на конфигурацијата, и ниту една не може да создаде слушател што веќе не работи. Профил што наведува TCP 443 кон сервер што слуша само на UDP 1194 паѓа уште на првиот пакет.

Затоа истата датотека се однесува различно на два клиенти: датотеката бара, а клиентот одлучува колку од барањето може да исполни.

Транспортните линии мора да одговараат на слушател што веќе постои

proto и remote линии мора да се совпаѓаат со она што серверот навистина го врзува. UDP е вообичаен избор зашто изгубената датаграма не го заглавува тунелот, додека TCP може да преживее рестриктивни мрежи по цена на блокирање на главата од редот внатре во тунелот. Префрлањето на профил од UDP на TCP не го тера серверот да прифати TCP; само го тера клиентот да праќа на порта што никој не ја чита.

Портата 443 е популарна зашто поминува низ мрежи што не дозволуваат речиси ништо друго, и останува OpenVPN сесија, а не HTTPS барање. Ако операторот објави неколку remote линии, клиентот ги пробува по редослед, што е список за префрлање при отказ, а не одлука за балансирање на оптоварување. Задржете ги комбинациите што ги испорачал операторот наместо да мешате домаќин од еден запис со порта од друг.

Вградените клучеви менуваат како постапувате со датотеката

Сертификатите и клучевите можат да стојат вградени меѓу ознаките <ca>, <cert> и <key>, или да бидат наведени како одделни датотеки. Вградениот материјал го прави профилот самостоен и исто така го прави тајна, зашто приватниот клуч на клиентот патува внатре во него. CA сертификатот е јавен материјал на доверба и безбедно е да се сподели; приватниот клуч не е, дури и кога изгледа како нечиток блок текст.

Лозинката што штити клуч е одделна тајна од лозинката на сметката, а нивното мешање дава грешка при автентикација што изгледа како погрешни податоци за најава.

Рутите и DNS може воопшто да не доаѓаат од датотеката

Рутирањето може да го турка серверот, профилот може да го постави со redirect-gateway, или може да остане на сопствените стандардни вредности на клиентот. Затоа преземената датотека не одредува целосно каде оди сообраќајот откако тунелот ќе се подигне. Кога внатрешните имиња се решаваат, а јавните страници не, политиката на поделен тунел го прави она за што е создадена, а не потфрла.

DNS го следи истиот образец: турнат dhcp-option DNS клиентот може да го примени, игнорира, или локален менаџер на резолвер може да го презапише. Проверете ја состојбата на резолверот по поврзувањето наместо повторно да ја читате датотеката.

Неподдржаните опции се прашање на верзијата на клиентот

Предупредувањата при увоз обично значат дека клиентот не спроведува директива, а не дека датотеката е оштетена. Десктоп клиентите можат да извршуваат скрипти и приклучоци под документирани контроли, додека мобилните клиенти прифаќаат потесен сет и можат тивко да ги отфрлат линиите што не ги разбираат. Поставка за шифра или TLS што постар клиент ја одбива е проблем со верзијата што треба да се реши со операторот. Вклучувањето непознати привилегии за да се наметне увоз ја менува предупредувањето за поширока нападна површина.

Зачувајте ја оригиналната датотека за споредба, наведете ја точната неподдржана директива во вашето барање и побарајте профил изграден за клиентот што навистина го извршувате.

По секоја замена потврдете кој запис од профилот го користи апликацијата, зашто увозот на нова датотека не секогаш ја презапишува старата.