Čo vlastne súbor .ovpn obsahuje a čo nedokáže

Väčšina ľudí predpokladá, že súbor .ovpn konfiguruje VPN. Nie je to tak: konfiguruje jedného klienta a všetko, čo žiada, už musí existovať na druhej strane. Zmena riadka v súbore môže zmeniť, čo sa váš stroj pokúša urobiť, nikdy nie to, čo ponúka server. Tento rozdiel vysvetľuje väčšinu zmätku okolo profilov, ktoré sa nedajú importovať alebo pripojiť.

Čítajte súbor ako zoznam požiadaviek adresovaných vášmu klientovi a väčšina jeho riadkov bude zrejmá.

Súbor opisuje vášho klienta, nie server

Profil spája remote koncový bod, transport, typ rozhrania, identitný materiál a akékoľvek správanie na strane klienta, ktoré operátor chce. Každý riadok spúšťa klient pri štarte. Žiadny z nich sa nedostane na server ako zmena konfigurácie a žiadny nemôže vytvoriť počúvajúci socket, ktorý už nebeží. Profil, ktorý uvádza TCP 443 voči serveru, ktorý počúva len na UDP 1194 zlyhá už na prvom pakete.

Preto sa ten istý súbor správa na dvoch klientoch odlišne: súbor žiada a klient rozhoduje, koľko z požiadavky môže splniť.

Transportné riadky musia zodpovedať počúvajúcemu socketu, ktorý už existuje

proto a remote musia zodpovedať tomu, čo server skutočne viaže. UDP je zvyčajná voľba, pretože stratený datagram nezastaví tunel, zatiaľ čo TCP prežije reštriktívne siete za cenu blokovania čela fronty vnútri tunela. Prepnutie profilu z UDP na TCP neprinúti server prijať TCP; len prinúti klienta posielať na port, ktorý nikto nečíta.

Port 443 je populárny, pretože prechádza sieťami, ktoré takmer nič iné nepovoľujú, a zostáva OpenVPN reláciou, nie požiadavkou HTTPS. Ak operátor zverejní niekoľko remote riadkov, klient ich skúša v poradí, čo je zoznam prepnutia pri zlyhaní, nie rozhodnutie o vyvažovaní záťaže. Zachovajte kombinácie, ktoré operátor dodal, namiesto miešania hostiteľa z jednej položky s portom z inej.

Vložené kľúče menia, ako so súborom zaobchádzate

Certifikáty a kľúče môžu byť vložené medzi značkami <ca>, <cert> a <key>, alebo na ne možno odkázať ako na samostatné súbory. Vložený materiál robí profil sebestačným a zároveň z neho robí tajomstvo, pretože súkromný kľúč klienta cestuje vnútri. Certifikát CA je verejný materiál dôvery a je bezpečné ho zdieľať; súkromný kľúč nie, aj keď vyzerá ako nečitateľný blok textu.

Heslová fráza, ktorá chráni kľúč, je samostatné tajomstvo od hesla účtu a ich zámena vedie k chybe overenia, ktorá vyzerá ako nesprávne prihlasovacie údaje.

Trasy a DNS nemusia pochádzať zo súboru vôbec

Smerovanie môže pretlačiť server, nastaviť profil pomocou redirect-gateway, alebo môže zostať na vlastných predvolených hodnotách klienta. Stiahnutý súbor teda úplne neurčuje, kam prevádzka pôjde po zdvihnutí tunela. Keď sa interné názvy prekladajú a verejné stránky nie, politika rozdeleného tunela robí to, na čo bola navrhnutá, a nezlyháva.

DNS sleduje rovnaký vzor: pretlačený dhcp-option DNS môže klient použiť, ignorovať alebo ho môže prepísať lokálny správca prekladača. Po pripojení skontrolujte stav prekladača namiesto opätovného čítania profilu.

Nepodporované voľby sú otázkou verzie klienta

Upozornenia pri importe zvyčajne znamenajú, že klient neimplementuje direktívu, nie že súbor je poškodený. Desktopoví klienti môžu spúšťať skripty a pluginy pod dokumentovanou kontrolou, zatiaľ čo mobilní klienti prijímajú užšiu sadu a môžu ticho zahodiť riadky, ktorým nerozumejú. Nastavenie šifry alebo TLS, ktoré starší klient odmieta, je problém verzie, ktorý treba riešiť s operátorom. Zapnutie neznámych oprávnení na vynútenie importu mení upozornenie za širšiu útočnú plochu.

Uchovajte pôvodný súbor na porovnanie, uveďte v žiadosti presnú nepodporovanú direktívu a požiadajte o profil vytvorený pre klienta, ktorého skutočne používate.

Po každom nahradení overte, ktorú položku profilu aplikácia používa, pretože import nového súboru nie vždy prepíše starý.