O que um arquivo .ovpn contém de fato, e o que ele não pode fazer

A maioria das pessoas presume que um arquivo .ovpn configura uma VPN. Não é assim: ele configura um cliente, e tudo o que pede já precisa existir do outro lado. Mudar uma linha no arquivo pode mudar o que sua máquina tenta, nunca o que o servidor oferece. Essa distinção explica a maior parte da confusão em torno de perfis que não importam ou não conectam.

Leia o arquivo como uma lista de pedidos endereçada ao seu cliente, e a maioria das linhas fica óbvia.

O arquivo descreve seu cliente, não o servidor

Um perfil reúne o endpoint remote, um transporte, um tipo de interface, material de identidade e qualquer comportamento do lado do cliente que o operador queira. O cliente executa cada linha na inicialização. Nenhuma delas chega ao servidor como mudança de configuração, e nenhuma pode criar um ouvinte que já não esteja em execução. Um perfil que indica TCP 443 contra um servidor que só escuta em UDP 1194 falha no primeiro pacote.

É por isso que o mesmo arquivo se comporta de forma diferente em dois clientes: o arquivo pede, e o cliente decide quanto do pedido pode atender.

As linhas de transporte precisam corresponder a um ouvinte que já existe

proto e remote precisam corresponder ao que o servidor realmente vincula. UDP é a escolha habitual porque um datagrama perdido não trava o túnel, enquanto o TCP pode sobreviver a redes restritivas ao custo de bloqueio no início da fila dentro do túnel. Trocar um perfil de UDP para TCP não faz o servidor aceitar TCP; só faz o cliente enviar a uma porta que ninguém lê.

A porta 443 é popular porque atravessa redes que não permitem quase nada além disso, e continua sendo uma sessão OpenVPN em vez de uma requisição HTTPS. Se o operador publica várias remote linhas, o cliente as testa em ordem, o que é uma lista de failover e não uma decisão de balanceamento de carga. Mantenha as combinações entregues pelo operador em vez de misturar um host de uma entrada com uma porta de outra.

Chaves incorporadas mudam a forma de lidar com o arquivo

Certificados e chaves podem ficar embutidos entre as tags <ca>, <cert> e <key>, ou ser referenciados como arquivos separados. O material embutido torna o perfil autossuficiente e também o torna um segredo, porque a chave privada do cliente viaja dentro dele. Um certificado CA é material de confiança público e é seguro compartilhá-lo; uma chave privada não, mesmo quando parece um bloco de texto ilegível.

A frase secreta que protege uma chave é um segredo separado da senha da conta, e confundi-las produz uma falha de autenticação que parece uma credencial errada.

Rotas e DNS podem não vir do arquivo

O roteamento pode ser empurrado pelo servidor, definido pelo perfil com redirect-gateway, ou deixado nos valores padrão do próprio cliente. Portanto, o arquivo que você baixou não determina totalmente para onde o tráfego vai depois que o túnel sobe. Quando nomes internos resolvem e sites públicos não, a política de túnel dividido está fazendo o que foi projetada para fazer, não falhando.

O DNS segue o mesmo padrão: um dhcp-option DNS empurrado pode ser aplicado pelo cliente, ignorado ou sobrescrito por um gerenciador de resolvedor local. Verifique o estado do resolvedor depois de conectar em vez de reler o perfil.

Opções não suportadas são uma questão de versão do cliente

Avisos de importação geralmente significam que o cliente não implementa uma diretiva, não que o arquivo esteja corrompido. Clientes de desktop podem executar scripts e plugins sob controles documentados, enquanto clientes móveis aceitam um conjunto mais estreito e podem descartar silenciosamente linhas que não entendem. Um ajuste de cifra ou TLS que um cliente mais antigo recusa é um problema de versão a resolver com o operador. Ativar privilégios desconhecidos para forçar uma importação troca um aviso por uma superfície de ataque maior.

Guarde o arquivo original para comparação, anote a diretiva não suportada exata no seu pedido e solicite um perfil criado para o cliente que você realmente executa.

Depois de qualquer substituição, confirme qual entrada de perfil o aplicativo usa, porque importar um arquivo novo nem sempre substitui o antigo.