Importar um arquivo .ovpn: o que ele instala e o que não instala

Você importou o perfil, o cliente informa que está conectado, e a lista de certificados do sistema está exatamente como antes. Esse é o resultado esperado, não uma importação falhada. Um arquivo .ovpn é uma configuração de texto que diz a um cliente OpenVPN compatível como chegar a um servidor e como se autenticar, e ele nunca grava nada no repositório de confiança do dispositivo. Dois erros decorrem dessa confusão: esperar que apareça um tipo de VPN nativo e concluir que a importação falhou porque nenhum certificado apareceu.

A crença de que uma importação instala um certificado

O perfil pode carregar material de certificado embutido, e é daí que vem a ideia: um bloco de texto entre colchetes angulares parece uma instalação. O cliente, em vez disso, o interpreta como configuração e entrega o certificado à sua própria camada TLS, e não ao sistema operacional. Nada é adicionado às definições de confiança do dispositivo, e nada deveria ser. O arquivo descreve uma conexão, enquanto o repositório de confiança descreve em quem o dispositivo está disposto a acreditar.

Um perfil também é inútil sem a chave privada a que se refere, e essa é outra razão pela qual não é um certificado. Obtenha o arquivo pelo canal verificado do operador e trate-o como sensível, porque ele pode conter material de identidade que pertence a você. Perca a chave e o perfil passa a ser a descrição de uma conexão que você não consegue fazer.

Abra o arquivo como o cliente documenta

Use a opção de importação de arquivo documentada pelo cliente em vez de renomear a extensão ou colar o texto em uma caixa de diálogo de VPN não relacionada. Alguns produtos também aceitam uma URL ou um pacote compactado, e esses são métodos suportados separados, com seus próprios modos de falha. Se os certificados ou as chaves chegam como arquivos separados, descubra como o cliente espera recebê-los antes de mover qualquer coisa. Copiar apenas o texto .ovpn para uma segunda máquina deixa cada caminho referenciado apontando para um arquivo que não existe ali, e o erro que você recebe falará de um arquivo ausente, não de uma importação ausente.

Essa é a armadilha da portabilidade em uma linha: o texto viaja e as referências não. Coloque os arquivos referenciados no layout que o cliente documenta, ou converta o perfil para a forma embutida se o cliente a suportar.

Material embutido versus arquivos referenciados

Um perfil embutido carrega a CA, o certificado e a chave dentro do arquivo, então é autossuficiente e portátil, mas também um único objeto a proteger com o mesmo cuidado que a chave que contém. Um perfil com referências nomeia caminhos no disco, o que só funciona onde esses caminhos existem e onde o cliente é executado com permissão para lê-los. Mover uma forma sem a outra é a falha de portabilidade comum, e ela aparece como erro TLS, não como erro de importação. Nenhuma das formas muda o modelo de segurança, porque o cliente ainda valida o servidor e ainda precisa de uma chave privada utilizável.

Um perfil que desativa a verificação para a importação dar certo trocou a checagem pela aparência de progresso. Recoloque essa definição antes de se conectar a qualquer coisa real.

Uma diretiva recusada é uma incompatibilidade com o cliente

Uma diretiva que um cliente de desktop aceita pode ser recusada por um cliente móvel ou por uma versão de desktop simplificada, e ganchos de script, comandos de roteamento e algumas opções de transporte entram nessa categoria. O cliente não está sendo difícil; ele se recusa a executar instruções que não consegue impor. Erros de importação geralmente nomeiam a diretiva, e esse nome é muito mais útil do que uma mensagem genérica de que não é possível importar. Procure esse nome na documentação do próprio cliente antes mesmo de editar o perfil.

Não remova a verificação do servidor e não ative scripts desconhecidos só para a importação passar. Encontre um cliente que suporte a diretiva, ou peça ao operador um perfil escrito para o cliente que você realmente executa. Remover uma linha para silenciar um erro muda o que a conexão garante, e essa mudança sobrevive à importação.

Verifique a entrada que você realmente inicia

Nada garante que o arquivo que você acabou de baixar substituiu a cópia importada no mês passado, então confirme o nome do perfil selecionado e os detalhes do servidor antes de conectar. Depois de conectar, teste o recurso de que você realmente precisa e inspecione o comportamento de roteamento e DNS, porque uma conexão concluída é apenas a primeira etapa. Se o perfil for recusado, guarde a mensagem exata da importação e a versão do cliente, porque esse é um problema diferente de um perfil que importa e depois não alcança o servidor. O manual do OpenVPN documenta as diretivas que um perfil pode conter, e essa é a referência a consultar antes de editar um.

Quando o substituto funcionar, aposente a entrada antiga com o controle de remoção do próprio cliente. Remover o arquivo da pasta Downloads deixa a conexão armazenada dentro do aplicativo intacta. Termine anotando qual nome de perfil está ativo, para que a próxima pessoa não se conecte pela cópia que você pretendia aposentar.