Apa yang sebenarnya terkandung dalam fail .ovpn, dan apa yang tidak boleh dilakukannya

Kebanyakan orang menganggap fail .ovpn mengkonfigurasi VPN. Ia tidak begitu: ia mengkonfigurasi satu klien, dan semua yang dimintanya mesti sudah wujud di sebelah sana. Menukar satu baris dalam fail boleh mengubah apa yang dicuba mesin anda, tidak pernah apa yang ditawarkan pelayan. Perbezaan itulah yang menjelaskan sebahagian besar kekeliruan tentang profil yang gagal diimport atau disambungkan.

Baca fail itu sebagai senarai permintaan yang dialamatkan kepada klien anda, dan kebanyakan barisnya menjadi jelas.

Fail itu menerangkan klien anda, bukan pelayan

Satu profil menggabungkan remote titik akhir, pengangkutan, jenis antara muka, bahan identiti dan sebarang tingkah laku sebelah klien yang dikehendaki pengendali. Setiap baris dilaksanakan oleh klien semasa permulaan. Tiada satu pun daripadanya sampai ke pelayan sebagai perubahan konfigurasi, dan tiada satu pun boleh mencipta pendengar yang belum berjalan. Profil yang menyebut TCP 443 terhadap pelayan yang hanya mendengar UDP 1194 gagal pada paket pertama.

Itulah sebabnya fail yang sama berkelakuan berbeza pada dua klien: fail meminta, dan klien memutuskan berapa banyak permintaan yang boleh dipenuhinya.

Baris pengangkutan mesti sepadan dengan pendengar yang sudah wujud

proto dan remote mesti sepadan dengan apa yang sebenarnya diikat oleh pelayan. UDP ialah pilihan biasa kerana datagram yang hilang tidak menghentikan terowong, manakala TCP boleh bertahan dalam rangkaian ketat dengan kos penyekatan kepala baris di dalam terowong. Menukar profil daripada UDP kepada TCP tidak membuatkan pelayan menerima TCP; ia hanya membuatkan klien menghantar ke port yang tiada siapa membaca.

Port 443 popular kerana ia melalui rangkaian yang hampir tidak membenarkan apa-apa lagi, dan ia kekal sebagai sesi OpenVPN dan bukan permintaan HTTPS. Jika pengendali menerbitkan beberapa baris remote, klien mencubanya mengikut urutan, iaitu senarai failover dan bukan keputusan pengimbangan beban. Kekalkan gabungan yang dihantar oleh pengendali daripada mencampurkan hos daripada satu entri dengan port daripada entri lain.

Kunci terbenam mengubah cara anda mengendalikan fail

Sijil dan kunci boleh berada sebaris di antara teg <ca>, <cert> dan <key>, atau dirujuk sebagai fail berasingan. Bahan sebaris menjadikan profil berdikari dan juga menjadikannya rahsia, kerana kunci peribadi klien bergerak di dalamnya. Sijil CA ialah bahan kepercayaan awam dan selamat dikongsi; kunci peribadi tidak, walaupun ia kelihatan seperti blok teks yang tidak boleh dibaca.

Frasa laluan yang melindungi kunci ialah rahsia berasingan daripada kata laluan akaun, dan mencampurkan kedua-duanya menghasilkan kegagalan pengesahan yang kelihatan seperti kelayakan yang salah.

Laluan dan DNS mungkin tidak datang daripada fail langsung

Penghalaan boleh ditolak oleh pelayan, ditetapkan oleh profil dengan redirect-gateway, atau dibiarkan kepada nilai lalai klien itu sendiri. Oleh itu, fail yang anda muat turun tidak menentukan sepenuhnya ke mana trafik pergi selepas terowong naik. Apabila nama dalaman diselesaikan dan tapak awam tidak, dasar terowong berpecah melakukan apa yang ia direka untuk lakukan, bukan gagal.

DNS mengikut corak yang sama: dhcp-option DNS yang ditolak boleh digunakan oleh klien, diabaikan, atau ditimpa oleh pengurus penyelesai tempatan. Periksa keadaan penyelesai selepas menyambung daripada membaca profil sekali lagi.

Pilihan yang tidak disokong ialah persoalan versi klien

Amaran import biasanya bermaksud klien tidak melaksanakan sesuatu arahan, bukan bahawa fail itu rosak. Klien desktop boleh menjalankan skrip dan pemalam di bawah kawalan yang didokumenkan, manakala klien mudah alih menerima set yang lebih sempit dan mungkin membuang baris yang tidak difahaminya secara senyap. Tetapan sifer atau TLS yang ditolak oleh klien lama ialah masalah versi yang perlu diselesaikan dengan pengendali. Mengaktifkan keistimewaan yang tidak dikenali untuk memaksa import menukar amaran dengan permukaan serangan yang lebih luas.

Simpan fail asal untuk perbandingan, catat arahan tidak disokong yang tepat dalam permintaan anda, dan minta profil yang dibina untuk klien yang benar-benar anda jalankan.

Selepas sebarang penggantian, sahkan entri profil mana yang digunakan oleh aplikasi, kerana mengimport fail baharu tidak selalu menimpa yang lama.