Prenosnosť profilu OpenVPN: prenosné kľúče verzus možnosti platformy

Ten istý súbor .ovpn otvorí tunel v jednom klientovi a v druhom sa nespustí, a certifikát je zvyčajne prvý podozrivý. Častejšie súbor obsahuje direktívu, ktorú implementuje len jeden engine. Profil je zmluva s konkrétnym klientom, nie prenosný skript.

Oddeľte to, čo cestuje s identitou, od toho, čo patrí platforme. Potom sa porucha zvyčajne sama pomenuje.

Jeden súbor, dve zmluvy

Profil spája tri druhy obsahu: identitný materiál, ako certifikáty CA a klienta a súkromný kľúč, transportné fakty, ako vzdialený koncový bod a protokol, a direktívy správania, ako spracovanie DNS alebo možnosti zariadenia. Prvé dve sú široko prenosné medzi engine, ktoré podporujú rovnaký protokol. Tretia je miesto, kde sa implementácie rozchádzajú. Práve zaobchádzanie s celým súborom ako s jednou prenosnou jednotkou vytvára mätúce poruchy.

Súbor, ktorý funguje v GUI na jednej platforme, nie je automaticky platný pre klienta príkazového riadka na inej. Aj keď sú oba OpenVPN, parsery a sady možností sa líšia. Preto úspešný import nie je dôkazom prenosného profilu.

Prenosný materiál verzus direktívy platformy

Sekcie identity a transportu sú časť, ktorú treba zachovať. ca, cert, key a remote opisujú, kto sa pripája a kam, a znamenajú to isté pre každého vyhovujúceho klienta.

Direktívy správania sú časť, ktorú treba porovnať. block-outside-dns napríklad existuje, aby zmenila správanie DNS v Windows. Klient Unix ju nemusí vôbec rozpoznať.

Čítajte zoznam možností prijímajúceho klienta, nie odosielajúceho. Referenčná príručka OpenVPN 2.6 dokumentuje možnosti enginu a dialóg importu v GUI nie je ten zoznam.

Najprv chyba parsera, potom certifikát

Chyba, ktorá pomenúva neznámu možnosť, je zlyhanie parsera, nie zlyhanie autentifikácie. Spojenie sa nikdy nedostalo k TLS, takže výmena certifikátov nepomôže. Prečítajte si prvú chybu zo skutočného klienta a verzie, potom odstráňte alebo nahraďte iba tú direktívu, ktorú tento klient nedokáže implementovať. Mazanie sekcií certifikátu alebo trás, aby sa súbor načítal, je cesta, na ktorej sa fungujúci profil stane nebezpečným.

Ak chyba spomína podanie ruky, certifikát alebo šifru, profil bol sparsovaný a problém je inde.

Ponechajte pôvodný súbor vedľa prispôsobeného. Keď prispôsobený súbor neskôr zlyhá, pôvodný je kontrola, ktorá hovorí, či sa pohla zmena alebo prostredie.

Oprávnenia sú druhá hranica

Oprávnenia sú druhá hranica: vytvorenie tunelového zariadenia, inštalácia trás a čítanie súkromného kľúča závisia od lokálnych povolení. Súbor kľúča čitateľný iba pre root je bežné nasadenie, nie chyba profilu. Oprava patrí do vlastníctva alebo schopností, nie do súboru.

Spustenie klienta s sudo môže vyriešiť lokálne odmietnutie povolenia a nemôže pridať direktívu, ktorú binárka neimplementuje. Mení aj to, ktorý zväzok kľúčov, konfiguračné cesty a kontext správcu siete platia, takže výsledok nie je ten istý test.

Prispôsobujte zámerne

Keď poskytovateľ zverejňuje samostatné profily, vezmite ten určený pre prijímajúceho klienta. Prispôsobenie súboru inej platformy je posledná možnosť. Vyžaduje záznam o každej zmenenej možnosti a kópiu originálu.

Testujte identitu, smerovanie a DNS ako tri samostatné výsledky. Profil, ktorý sa autentifikuje a smeruje, ale láme rozlišovanie mien, je čiastočne prispôsobený profil, nie fungujúci.