Импорт файла .ovpn: что он устанавливает, а что нет

Вы импортировали профиль, клиент сообщает о подключении, а список сертификатов системы выглядит точно так же, как раньше. Это ожидаемый результат, а не неудачный импорт. Файл .ovpn — это текстовая конфигурация, которая сообщает совместимому клиенту OpenVPN, как добраться до сервера и как пройти аутентификацию, и он никогда ничего не записывает в хранилище доверия устройства. Из этой путаницы следуют две ошибки: ожидание, что появится встроенный тип VPN, и вывод о том, что импорт не удался, потому что не появился ни один сертификат.

Убеждение, что импорт устанавливает сертификат

Профиль может нести материал сертификата внутри себя, и именно отсюда берётся эта мысль: блок текста между угловыми скобками выглядит как установка. Клиент, однако, разбирает его как конфигурацию и передаёт сертификат своему собственному слою TLS, а не операционной системе. В настройки доверия устройства ничего не добавляется, и добавляться не должно. Файл описывает подключение, тогда как хранилище доверия описывает, кому устройство готово верить.

Профиль также бесполезен без закрытого ключа, на который он ссылается, и это ещё одна причина, по которой он не является сертификатом. Получите файл из проверенного канала оператора и обращайтесь с ним как с чувствительными данными, ведь он может содержать сведения о вашей личности. Потеряете ключ — и профиль станет описанием подключения, которое вы не сможете установить.

Откройте файл так, как это описано в документации клиента

Используйте документированный параметр импорта файла в клиенте, а не переименовывайте расширение и не вставляйте текст в постороннее окно VPN. Некоторые продукты принимают также URL или упакованный архив, и это отдельные поддерживаемые способы со своими сценариями отказа. Если сертификаты или ключи поставляются отдельными файлами, выясните, как клиент ожидает их получить, прежде чем что-либо перемещать. Копирование одного лишь текста .ovpn на вторую машину оставляет каждый указанный путь ведущим к файлу, которого там нет, и полученная ошибка будет говорить об отсутствующем файле, а не об отсутствующем импорте.

Это ловушка переносимости в одной строке: текст путешествует, а ссылки нет. Разместите указанные файлы в той структуре, которую документирует клиент, или преобразуйте профиль во встроенную форму, если клиент это поддерживает.

Встроенный материал и указанные файлы

Встроенный профиль несёт CA, сертификат и ключ внутри файла, поэтому он самодостаточен и переносим, но при этом является единственным объектом, который нужно защищать так же тщательно, как ключ внутри него. Профиль со ссылками указывает пути на диске, и это работает только там, где эти пути существуют и где клиент запускается с правом их чтения. Перенос одной формы без другой — обычный сбой переносимости, и он проявляется как ошибка TLS, а не как ошибка импорта. Ни одна из форм не меняет модель безопасности, потому что клиент по-прежнему проверяет сервер и по-прежнему нуждается в пригодном закрытом ключе.

Профиль, который отключает проверку ради успешного импорта, обменял проверку на видимость прогресса. Верните этот параметр на место, прежде чем подключаться к чему-либо настоящему.

Отклонённая директива — это несовпадение с клиентом

Директиву, которую принимает настольный клиент, может отклонить мобильный клиент или упрощённая настольная сборка, и сценарные перехватчики, команды маршрутизации и некоторые параметры транспорта попадают в эту категорию. Клиент не вредничает; он отказывается выполнять инструкции, которые не может обеспечить. Ошибки импорта обычно называют директиву, и это имя гораздо полезнее общего сообщения о невозможности импорта. Поищите это имя в документации самого клиента, прежде чем вообще редактировать профиль.

Не удаляйте проверку сервера и не включайте незнакомые сценарии только ради того, чтобы импорт прошёл. Найдите клиент, поддерживающий эту директиву, или попросите у оператора профиль, написанный для клиента, который вы действительно запускаете. Удаление строки ради того, чтобы заглушить ошибку, меняет то, что гарантирует подключение, и это изменение переживёт импорт.

Проверьте ту запись, которую вы действительно запускаете

Ничто не гарантирует, что только что скачанный файл заменил копию, импортированную в прошлом месяце, поэтому до подключения подтвердите имя выбранного профиля и данные его сервера. После подключения проверьте ресурс, который вам действительно нужен, и изучите поведение маршрутизации и DNS, ведь установленное подключение — только первый этап. Если профиль отклонён, сохраните точное сообщение импорта и версию клиента, поскольку это другая проблема, чем профиль, который импортируется, а затем не достигает своего сервера. Руководство OpenVPN описывает директивы, которые может содержать профиль, и это тот источник, который нужно проверить перед редактированием.

Когда замена заработает, выведите старую запись из обращения собственным средством удаления клиента. Удаление файла из загрузок оставляет сохранённое подключение внутри приложения нетронутым. В завершение запишите, какое имя профиля активно, чтобы следующий человек не подключался через копию, которую вы собирались вывести из обращения.