.ovpn-bestand importeren: wat het installeert en wat niet

Je hebt het profiel geïmporteerd, de client meldt verbinding en de certificatenlijst van het systeem ziet er precies zo uit als voorheen. Dat is de verwachte uitkomst, geen mislukte import. Een .ovpn-bestand is een tekstconfiguratie die een compatibele OpenVPN-client vertelt hoe hij een server bereikt en hoe hij zich authenticeert, en het schrijft nooit iets naar de vertrouwensopslag van het apparaat. Uit deze verwarring volgen twee fouten: verwachten dat er een native VPN-type verschijnt, en concluderen dat de import mislukte omdat er geen certificaat verscheen.

De overtuiging dat een import een certificaat installeert

Het profiel kan certificaatmateriaal inline meedragen, en daar komt het idee vandaan: een blok tekst tussen punthaken ziet eruit als een installatie. De client leest het in plaats daarvan als configuratie en geeft het certificaat aan zijn eigen TLS-laag en niet aan het besturingssysteem. Aan de vertrouwensinstellingen van het apparaat wordt niets toegevoegd, en dat zou ook niet moeten. Het bestand beschrijft een verbinding, terwijl de vertrouwensopslag beschrijft wie het apparaat bereid is te geloven.

Een profiel is ook nutteloos zonder de privésleutel waarnaar het verwijst, en dat is nog een reden waarom het geen certificaat is. Haal het bestand via het geverifieerde kanaal van de aanbieder en behandel het als gevoelig, want het kan identiteitsmateriaal bevatten dat van jou is. Verlies je de sleutel, dan wordt het profiel de beschrijving van een verbinding die je niet kunt maken.

Open het bestand zoals de client het documenteert

Gebruik de gedocumenteerde bestandsimportoptie van de client in plaats van de extensie te hernoemen of de tekst in een ongerelateerd VPN-venster te plakken. Sommige producten accepteren ook een URL of een verpakt archief, en dat zijn afzonderlijke ondersteunde methoden met hun eigen faalwijzen. Als certificaten of sleutels als aparte bestanden binnenkomen, zoek dan uit hoe de client ze verwacht te ontvangen voordat je iets verplaatst. Alleen de .ovpn-tekst naar een tweede machine kopiëren laat elk genoemd pad wijzen naar een bestand dat er niet is, en de fout die je krijgt gaat over een ontbrekend bestand en niet over een ontbrekende import.

Dat is de valkuil van overdraagbaarheid in één regel: de tekst reist en de verwijzingen niet. Zet de genoemde bestanden in de indeling die de client documenteert, of converteer het profiel naar inlinevorm als de client dat ondersteunt.

Inlinemateriaal tegenover genoemde bestanden

Een inlineprofiel draagt de CA, het certificaat en de sleutel in het bestand, dus het is zelfstandig en overdraagbaar, maar ook één object dat net zo zorgvuldig moet worden beschermd als de sleutel erin. Een profiel met verwijzingen noemt paden op schijf, wat alleen werkt waar die paden bestaan en waar de client draait met toestemming om ze te lezen. De ene vorm zonder de andere verplaatsen is de gebruikelijke overdraagbaarheidsfout, en die komt naar voren als een TLS-fout en niet als een importfout. Geen van beide vormen verandert het beveiligingsmodel, want de client valideert de server nog steeds en heeft nog steeds een bruikbare privésleutel nodig.

Een profiel dat verificatie uitschakelt om de import te laten slagen, heeft de controle ingeruild voor de schijn van vooruitgang. Zet die instelling terug voordat je verbinding maakt met iets echts.

Een geweigerde richtlijn is een mismatch met de client

Een richtlijn die een desktopclient accepteert, kan door een mobiele client of een vereenvoudigde desktopversie worden geweigerd, en scripthooks, routingopdrachten en sommige transportopties vallen in die categorie. De client is niet lastig; hij weigert instructies uit te voeren die hij niet kan afdwingen. Importfouten noemen meestal de richtlijn, en die naam is veel nuttiger dan een algemene melding dat importeren niet kan. Zoek die naam op in de documentatie van de client zelf voordat je het profiel überhaupt bewerkt.

Verwijder de serververificatie niet en schakel geen onbekende scripting in alleen om de import erdoor te krijgen. Zoek een client die de richtlijn ondersteunt, of vraag de aanbieder om een profiel dat is geschreven voor de client die je echt draait. Een regel verwijderen om een fout te dempen verandert wat de verbinding garandeert, en die verandering overleeft de import.

Controleer het item dat je echt start

Niets garandeert dat het bestand dat je zojuist hebt gedownload de copie verving die vorige maand is geïmporteerd, dus bevestig de naam van het geselecteerde profiel en de servergegevens voordat je verbinding maakt. Test na het verbinden de bron die je echt nodig hebt en bekijk het gedrag van routing en DNS, want een voltooide verbinding is pas de eerste fase. Als het profiel wordt geweigerd, bewaar dan het exacte importbericht en de clientversie, want dat is een ander probleem dan een profiel dat importeert en daarna zijn server niet bereikt. De OpenVPN-handleiding documenteert de richtlijnen die een profiel mag bevatten, en dat is de referentie die je moet controleren voordat je er een bewerkt.

Als de vervanging werkt, haal dan het oude item weg met de eigen verwijderingsfunctie van de client. Het bestand uit Downloads verwijderen laat de opgeslagen verbinding in de app ongemoeid. Sluit af met te noteren welke profielnaam actief is, zodat de volgende persoon niet verbindt via de copie die je wilde uitfaseren.