Prenosljivost profila OpenVPN: prenosljivi ključi proti možnostim platforme

Ista datoteka .ovpn v enem odjemalcu odpre tunel, v drugem pa se ne zažene, in potrdilo je običajno prvi osumljenec. Pogosteje datoteka vsebuje direktivo, ki jo izvaja le en pogon. Profil je pogodba s točno določenim odjemalcem, ne prenosljiva skripta.

Ločite, kar potuje z identiteto, od tega, kar pripada platformi. Takrat se napaka običajno poimenuje sama.

Ena datoteka, dve pogodbi

Profil združuje tri vrste vsebine: identitetno gradivo, kot so potrdila CA in odjemalca ter zasebni ključ, podatke o prenosu, kot sta oddaljena končna točka in protokol, ter direktive vedenja, kot sta ravnanje z DNS ali možnosti naprave. Prva dva sta široko prenosljiva med pogoni, ki podpirajo isti protokol. Tretja je mesto, kjer se izvedbe razhajajo. Obravnavanje celotne datoteke kot ene prenosljive enote je tisto, kar ustvarja zmedene napake.

Datoteka, ki deluje v GUI na eni platformi, ni samodejno veljavna za odjemalca ukazne vrstice na drugi. Tudi ko sta oba OpenVPN, se razčlenjevalniki in nabori možnosti razlikujejo. Zato uspešen uvoz ni dokaz prenosljivega profila.

Prenosljivo gradivo proti direktivam platforme

Razdelka identitete in prenosa je del, ki ga je treba ohraniti. ca, cert, key in remote opisujejo, kdo se povezuje in kam, in pomenijo isto vsakemu skladnemu odjemalcu.

Direktive vedenja so del, ki ga je treba primerjati. block-outside-dns na primer obstaja zato, da spremeni vedenje DNS v Windows. Odjemalec Unix je morda sploh ne prepozna.

Preberite seznam možnosti odjemalca, ki prejema, ne tistega, ki pošilja. Referenčni priročnik OpenVPN 2.6 dokumentira možnosti pogona, pogovorno okno za uvoz v GUI pa ni ta seznam.

Najprej napaka razčlenjevalnika, nato potrdilo

Napaka, ki navaja neprepoznano možnost, je okvara razčlenjevalnika, ne okvara overjanja. Povezava nikoli ni dosegla TLS, zato menjava potrdil ne more pomagati. Preberite prvo napako iz dejanskega odjemalca in različice, nato odstranite ali zamenjajte le tisto direktivo, ki je ta odjemalec ne more izvesti. Brisanje razdelkov s potrdilom ali potmi, da bi se datoteka naložila, je pot, po kateri delujoč profil postane nevaren.

Če napaka omenja rokovanje, potrdilo ali šifro, je bil profil razčlenjen in težava je drugje.

Izvorno datoteko hranite poleg prilagojene. Ko prilagojena datoteka pozneje odpove, je izvirnik kontrola, ki pove, ali se je premaknila sprememba ali okolje.

Pravice so druga meja

Pravice so druga meja: ustvarjanje tunelske naprave, nameščanje poti in branje zasebnega ključa so odvisni od lokalnih dovoljenj. Datoteka s ključem, ki jo lahko bere samo root, je običajna namestitev, ne napaka profila. Popravek spada k lastništvu ali zmožnostim, ne v datoteko.

Zagon odjemalca s sudo lahko odpravi lokalno zavrnitev dovoljenja in ne more dodati direktive, ki je binarna datoteka ne izvaja. Spremeni tudi, kateri obesek za ključe, konfiguracijske poti in kontekst upravitelja omrežja veljajo, zato rezultat ni isti preizkus.

Prilagajajte namerno

Ko ponudnik objavi ločene profile, vzemite tistega, ki je namenjen odjemalcu, ki prejema. Prilagajanje datoteke druge platforme je zadnja možnost. Zahteva zapis o vsaki spremenjeni možnosti in kopijo izvirnika.

Preizkusite identiteto, usmerjanje in DNS kot tri ločene izide. Profil, ki se overi in usmerja, a zlomi razreševanje imen, je delno prilagojen profil, ne delujoč.