Što .ovpn datoteka zapravo sadrži i što ne može

Većina ljudi pretpostavlja da .ovpn datoteka konfigurira VPN. Nije tako: konfigurira jednog klijenta, a sve što traži već mora postojati na drugoj strani. Promjena retka u datoteci može promijeniti što vaše računalo pokušava, nikada što poslužitelj nudi. Ta razlika objašnjava većinu zabune oko profila koji se ne mogu uvesti ili povezati.

Čitajte datoteku kao popis zahtjeva upućenih vašem klijentu i većina njezinih redaka postat će očigledna.

Datoteka opisuje vaš klijent, a ne poslužitelj

Profil objedinjuje remote odredište, prijenos, vrstu sučelja, identifikacijski materijal i svako ponašanje na strani klijenta koje operater želi. Svaki redak klijent izvršava pri pokretanju. Nijedan od njih ne stiže na poslužitelj kao promjena konfiguracije i nijedan ne može stvoriti slušatelja koji već ne radi. Profil koji navodi TCP 443 prema poslužitelju koji sluša samo na UDP 1194 pada na prvom paketu.

Zato se ista datoteka ponaša različito na dva klijenta: datoteka traži, a klijent odlučuje koliko zahtjeva može ispuniti.

Redci prijenosa moraju odgovarati slušatelju koji već postoji

proto i remote moraju se slagati s onim što poslužitelj zapravo veže. UDP je uobičajen izbor jer izgubljeni datagram ne zaglavljuje tunel, dok TCP može preživjeti restriktivne mreže po cijeni blokiranja zaglavlja reda unutar tunela. Prebacivanje profila s UDP na TCP ne tjera poslužitelj da prihvati TCP; samo tjera klijent da šalje na port koji nitko ne čita.

Port 443 popularan je jer prolazi kroz mreže koje ne dopuštaju gotovo ništa drugo, i ostaje OpenVPN sesija, a ne HTTPS zahtjev. Ako operater objavi nekoliko remote redaka, klijent ih isprobava po redu, što je popis za prebacivanje pri otkazu, a ne odluka o raspodjeli opterećenja. Zadržite kombinacije koje je operater isporučio umjesto da miješate host iz jednog unosa s portom iz drugog.

Ugrađeni ključevi mijenjaju način na koji rukujete datotekom

Certifikati i ključevi mogu stajati ugrađeni između oznaka <ca>, <cert> i <key>, ili biti navedeni kao zasebne datoteke. Ugrađeni materijal čini profil samostalnim i istovremeno ga čini tajnom, jer privatni ključ klijenta putuje unutar njega. CA certifikat je javni materijal povjerenja i siguran je za dijeljenje; privatni ključ nije, čak i kada izgleda kao nečitljiv blok teksta.

Lozinka koja štiti ključ zasebna je tajna od lozinke računa, a njihovo miješanje daje pogrešku autentifikacije koja izgleda kao pogrešni podaci za prijavu.

Rute i DNS možda uopće ne dolaze iz datoteke

Usmjeravanje može gurati poslužitelj, postaviti profil pomoću redirect-gateway, ili ostati na klijentovim vlastitim zadanim postavkama. Datoteka koju ste preuzeli zato ne određuje u potpunosti kuda promet ide nakon što se tunel podigne. Kada se unutarnja imena razrješavaju a javna mjesta ne, politika podijeljenog tunela radi ono za što je napravljena, a ne otkazuje.

DNS slijedi isti obrazac: gurnuti dhcp-option DNS klijent može primijeniti, ignorirati ili ga može nadjačati lokalni upravitelj razrješivača. Provjerite stanje razrješivača nakon povezivanja umjesto da ponovno čitate profil.

Nepodržane opcije pitanje su verzije klijenta

Upozorenja pri uvozu obično znače da klijent ne implementira neku direktivu, a ne da je datoteka oštećena. Stolni klijenti mogu pokretati skripte i dodatke pod dokumentiranim kontrolama, dok mobilni klijenti prihvaćaju uži skup i mogu tiho odbaciti retke koje ne razumiju. Postavka šifre ili TLS-a koju stariji klijent odbija jest problem verzije koji treba riješiti s operaterom. Uključivanje nepoznatih privilegija da bi se uvoz iznudio mijenja upozorenje za širu površinu napada.

Sačuvajte izvornu datoteku za usporedbu, navedite točnu nepodržanu direktivu u svom zahtjevu i zatražite profil napravljen za klijent koji doista pokrećete.

Nakon svake zamjene provjerite koji unos profila aplikacija koristi, jer uvoz nove datoteke ne prepisuje uvijek staru.