Importowanie pliku .ovpn: co instaluje, a czego nie

Zaimportowałeś profil, klient zgłasza połączenie, a lista certyfikatów systemowych wygląda dokładnie tak jak wcześniej. To oczekiwany wynik, a nie nieudany import. Plik .ovpn to konfiguracja tekstowa, która mówi zgodnemu klientowi OpenVPN, jak dotrzeć do serwera i jak się uwierzytelnić, i nigdy nic nie zapisuje w magazynie zaufania urządzenia. Z tego zamieszania wynikają dwa błędy: oczekiwanie, że pojawi się natywny typ VPN, oraz wniosek, że import się nie udał, bo nie pojawił się żaden certyfikat.

Przekonanie, że import instaluje certyfikat

Profil może nosić materiał certyfikatu w sobie, i stąd bierze się ten pomysł: blok tekstu między nawiasami kątowymi wygląda jak instalacja. Klient interpretuje go jednak jako konfigurację i przekazuje certyfikat swojej własnej warstwie TLS, a nie systemowi operacyjnemu. Ustawienia zaufania urządzenia nie zyskują niczego i nie powinny zyskiwać. Plik opisuje połączenie, a magazyn zaufania opisuje, komu urządzenie jest gotowe wierzyć.

Profil jest też bezużyteczny bez klucza prywatnego, na który się powołuje, i to kolejny powód, dla którego nie jest certyfikatem. Pobierz plik ze zweryfikowanego kanału operatora i traktuj go jako dane wrażliwe, bo może zawierać materiał tożsamości należący do ciebie. Utracisz klucz i profil staje się opisem połączenia, którego nie możesz nawiązać.

Otwórz plik tak, jak dokumentuje klient

Użyj udokumentowanej opcji importu pliku w kliencie, zamiast zmieniać rozszerzenie albo wklejać tekst do niepowiązanego okna VPN. Niektóre produkty przyjmują też adres URL lub spakowane archiwum, a to odrębne obsługiwane metody z własnymi trybami awarii. Jeśli certyfikaty lub klucze przychodzą jako osobne pliki, ustal, jak klient oczekuje ich otrzymać, zanim cokolwiek przeniesiesz. Skopiowanie samego tekstu .ovpn na drugą maszynę pozostawia każdą wskazaną ścieżkę skierowaną na plik, którego tam nie ma, a komunikat błędu będzie mówił o brakującym pliku, a nie o brakującym imporcie.

To pułapka przenośności w jednym zdaniu: tekst podróżuje, a odwołania nie. Umieść wskazane pliki w układzie dokumentowanym przez klienta albo przekonwertuj profil na formę wbudowaną, jeśli klient to obsługuje.

Materiał wbudowany a pliki wskazane

Profil wbudowany niesie CA, certyfikat i klucz w pliku, więc jest samowystarczalny i przenośny, ale też jednym obiektem, który trzeba chronić tak starannie jak klucz w nim. Profil z odwołaniami podaje ścieżki na dysku, co działa tylko tam, gdzie te ścieżki istnieją i gdzie klient działa z uprawnieniem do ich odczytu. Przenoszenie jednej formy bez drugiej to typowa awaria przenośności, i objawia się błędem TLS, a nie błędem importu. Żadna forma nie zmienia modelu bezpieczeństwa, bo klient nadal weryfikuje serwer i nadal potrzebuje użytecznego klucza prywatnego.

Profil, który wyłącza weryfikację, by import się udał, zamienił sprawdzenie na pozór postępu. Przywróć to ustawienie, zanim połączysz się z czymkolwiek realnym.

Odrzucona dyrektywa to niezgodność z klientem

Dyrektywę, którą akceptuje klient desktopowy, może odrzucić klient mobilny lub uproszczona wersja desktopowa, a haki skryptów, polecenia routingu i niektóre opcje transportu należą do tej kategorii. Klient nie jest złośliwy; odmawia wykonania instrukcji, których nie może wyegzekwować. Błędy importu zwykle podają nazwę dyrektywy, a ta nazwa jest znacznie użyteczniejsza niż ogólny komunikat, że import jest niemożliwy. Poszukaj tej nazwy w dokumentacji samego klienta, zanim w ogóle zaczniesz edytować profil.

Nie usuwaj weryfikacji serwera i nie włączaj nieznanego skryptowania tylko po to, by import przeszedł. Znajdź klienta, który obsługuje tę dyrektywę, albo poproś operatora o profil napisany dla klienta, którego naprawdę używasz. Usunięcie linii, by uciszyć błąd, zmienia to, co gwarantuje połączenie, a ta zmiana przeżyje import.

Sprawdź wpis, który naprawdę uruchamiasz

Nic nie gwarantuje, że właśnie pobrany plik zastąpił kopię zaimportowaną w zeszłym miesiącu, więc potwierdź nazwę wybranego profilu i dane jego serwera przed połączeniem. Po połączeniu sprawdź zasób, którego naprawdę potrzebujesz, i obejrzyj zachowanie routingu oraz DNS, bo nawiązane połączenie to dopiero pierwszy etap. Jeśli profil zostanie odrzucony, zachowaj dokładny komunikat importu i wersję klienta, bo to inny problem niż profil, który się importuje, a potem nie dociera do swojego serwera. Podręcznik OpenVPN dokumentuje dyrektywy, które profil może zawierać, i to jest źródło, które trzeba sprawdzić przed edycją.

Gdy zamiennik działa, wycofaj stary wpis własnym mechanizmem usuwania klienta. Usunięcie pliku z folderu Pobrane pozostawia zapisane połączenie w aplikacji nietknięte. Na koniec zapisz, która nazwa profilu jest aktywna, żeby następna osoba nie łączyła się przez kopię, którą zamierzałeś wycofać.