Prenosivost OpenVPN profila: prenosivi ključevi nasuprot platformskim opcijama

Ista .ovpn datoteka otvara tunel u jednom klijentu, a u drugom se ne pokreće, i certifikat je obično prvi osumnjičenik. Češće datoteka sadrži direktivu koju implementira samo jedan motor. Profil je ugovor s određenim klijentom, a ne prenosiva skripta.

Odvojite ono što putuje s identitetom od onoga što pripada platformi. Tada se neuspjeh obično sam imenuje.

Jedna datoteka, dva ugovora

Profil okuplja tri vrste sadržaja: identitetski materijal poput CA i klijentskih certifikata te privatnog ključa, transportne činjenice poput udaljene završne točke i protokola, te direktive ponašanja poput rukovanja DNS-om ili opcija uređaja. Prve dvije široko su prenosive među motorima koji podržavaju isti protokol. Treća je mjesto gdje se implementacije razilaze. Tretiranje cijele datoteke kao jedne prenosive cjeline stvara zbunjujuće neuspjehe.

Datoteka koja radi u GUI-ju na jednoj platformi nije automatski valjana za klijent naredbenog retka na drugoj. Čak i kada su oba OpenVPN, parseri i skupovi opcija razlikuju se. Zato uspješan uvoz nije dokaz prenosivog profila.

Prenosivi materijal nasuprot platformskim direktivama

Odjeljci identiteta i prijenosa dio su koji treba sačuvati. ca, cert, key i remote opisuju tko se povezuje i kamo, i znače isto svakom sukladnom klijentu.

Direktive ponašanja dio su koji treba usporediti. block-outside-dns, na primjer, postoji kako bi promijenio ponašanje DNS-a u Windowsima. Unix klijent možda ga uopće ne prepoznaje.

Čitajte popis opcija klijenta koji prima, a ne onoga koji šalje. Referentni priručnik OpenVPN 2.6 dokumentira opcije motora, a dijaloški okvir za uvoz u GUI-ju nije taj popis.

Pročitajte pogrešku parsera prije certifikata

Pogreška koja navodi nepoznatu opciju je kvar parsera, a ne kvar autentifikacije. Veza nikada nije stigla do TLS-a, pa promjena certifikata ne može pomoći. Pročitajte prvu pogrešku iz stvarnog klijenta i verzije, zatim uklonite ili zamijenite samo onu direktivu koju taj klijent ne može implementirati. Brisanje odjeljaka s certifikatom ili rutama kako bi se datoteka učitala jest način na koji radni profil postaje nesiguran.

Ako pogreška spominje rukovanje, certifikat ili šifru, profil je parsiran i problem je drugdje.

Sačuvajte izvornu datoteku pokraj prilagođene. Kada prilagođena datoteka kasnije zakaže, izvorna je kontrola koja govori je li se pomaknula promjena ili okruženje.

Privilegije su druga granica

Privilegije su druga granica: stvaranje tunelskog uređaja, instaliranje ruta i čitanje privatnog ključa ovise o lokalnim dopuštenjima. Datoteka ključa koju može čitati samo root uobičajeno je postavljanje, a ne nedostatak profila. Ispravak pripada vlasništvu ili sposobnostima, a ne datoteci.

Pokretanje klijenta s sudo može riješiti lokalno odbijanje dopuštenja i ne može dodati direktivu koju binarni program ne implementira. Također mijenja čiji se privjesak ključeva, putanje konfiguracije i kontekst mrežnog upravitelja primjenjuju, pa rezultat nije isti test.

Prilagodite namjerno

Kada pružatelj objavljuje zasebne profile, uzmite onaj namijenjen klijentu koji prima. Prilagodba datoteke druge platforme posljednji je izbor. Zahtijeva zapis o svakoj promijenjenoj opciji i kopiju izvorne datoteke.

Testirajte identitet, usmjeravanje i DNS kao tri odvojena ishoda. Profil koji se autentificira i usmjerava, ali kvari razrješavanje naziva, djelomično je prilagođen profil, a ne radni.