Flyttbarheita til OpenVPN-profilen: flyttbare nøklar kontra plattformval

Den same .ovpn-fila opnar ein tunnel i éin klient og startar ikkje i ein annan, og sertifikatet er vanlegvis den første mistenkte. Oftare inneheld fila eit direktiv som berre éin motor implementerer. Ein profil er ein kontrakt med ein bestemd klient, ikkje eit flyttbart skript.

Skil det som reiser med identiteten, frå det som høyrer til ein plattform. Då namngjev feilen seg vanlegvis sjølv.

Éi fil, to kontraktar

Ein profil samlar tre slags innhald: identitetsmateriale som CA- og klientsertifikat og den private nøkkelen, transportopplysningar som endepunktet og protokollen, og åtferdsdirektiv som DNS-handtering eller einingval. Dei to første er breitt flyttbare mellom motorar som støttar same protokoll. Den tredje er der implementasjonane går frå kvarandre. Å handsame heile fila som éi flyttbar eining er det som skaper dei forvirrande feila.

Ei fil som verkar i ein GUI på éin plattform er ikkje automatisk gyldig for kommandolinjeklienten på ein annan. Sjølv når båe er OpenVPN, er parsarane og valssetta ulike. Difor er ein vellykka import ikkje prov på ein flyttbar profil.

Flyttbart materiale kontra plattformdirektiv

Identitets- og transportdelane er den delen som skal takast vare på. ca, cert, key og remote skildrar kven som koplar til og kvar, og dei tyder det same for kvar konform klient.

Åtferdsdirektiv er den delen som skal samanliknast. block-outside-dns finst til dømes for å endre DNS-åtferda i Windows. Ein Unix-klient kjenner han kanskje ikkje att i det heile.

Les vallista til den mottakande klienten i staden for den sendande. OpenVPN 2.6-referansehandboka dokumenterer vala til motoren, og importdialogen i ein GUI er ikkje den lista.

Les parsarfeilen før sertifikatet

Ein feil som namngjev eit ukjent val er ein parsarfeil, ikkje ein autentiseringsfeil. Tilkoplinga nådde aldri TLS, så det hjelper ikkje å byte sertifikat. Les den første feilen frå den faktiske klienten og versjonen, og fjern eller erstatt deretter berre det direktivet klienten ikkje kan implementere. Å slette sertifikat- eller rutedelar for å få fila til å lastast er måten ein fungerande profil vert utrygg.

Viss feilen nemner handtrykket, eit sertifikat eller eit siffer, vart profilen parsa, og problemet ligg ein annan stad.

Ta vare på originalfila ved sida av den tilpassa. Når den tilpassa fila seinare feilar, er originalen kontrollen som fortel om endringa eller miljøet flytta seg.

Privilegium er ei anna grense

Privilegium er den andre grensa: å opprette ei tunneleining, installere ruter og lese ein privat nøkkel er alle avhengige av lokale løyve. Ei nøkkelfil som berre root kan lese, er ein normal utrulling, ikkje ein profilfeil. Rettinga høyrer til eigarskap eller kapabilitetar, ikkje i fila.

Å køyre klienten med sudo kan løyse eit lokalt tilgangsnekt, og det kan ikkje leggje til eit direktiv som binærforma ikkje implementerer. Det endrar òg kva nøkkelring, kva konfigurasjonsstiar og kva nettverkshandterarkontekst som gjeld, så resultatet er ikkje den same testen.

Tilpass med vilje

Når ein leverandør publiserer separate profilar, ta den som er meint for den mottakande klienten. Å tilpasse fila til ein annan plattform er ein siste utveg. Det krev ei oversikt over kvart endra val og ei kopi av originalen.

Test identitet, ruting og DNS som tre separate resultat. Ein profil som autentiserer og rutar, men bryt namneoppslag, er ein delvis tilpassa profil, ikkje ein fungerande.