Kaj datoteka .ovpn v resnici vsebuje in česa ne more

Večina ljudi domneva, da datoteka .ovpn konfigurira VPN. Ne drži: konfigurira enega odjemalca, in vse, kar zahteva, mora že obstajati na drugi strani. Sprememba vrstice v datoteki lahko spremeni, kaj poskuša vaš stroj, nikoli pa, kaj ponuja strežnik. Ta razlika pojasnjuje večino zmede okoli profilov, ki se ne uvozijo ali ne povežejo.

Datoteko berite kot seznam zahtev, naslovljenih na vašega odjemalca, in večina njenih vrstic bo očitnih.

Datoteka opisuje vašega odjemalca, ne strežnika

Profil združuje remote končno točko, prenos, vrsto vmesnika, identitetno gradivo in vsako vedenje na strani odjemalca, ki ga želi operater. Vsako vrstico izvede odjemalec ob zagonu. Nobena od njih ne doseže strežnika kot sprememba konfiguracije in nobena ne more ustvariti poslušalca, ki že ne teče. Profil, ki navaja TCP 443 proti strežniku, ki posluša samo na UDP 1194 spodleti že pri prvem paketu.

Zato se ista datoteka na dveh odjemalcih obnaša različno: datoteka prosi, odjemalec pa odloči, koliko zahteve lahko izpolni.

Vrstice prenosa se morajo ujemati s poslušalcem, ki že obstaja

proto in remote se morata ujemati s tem, kar strežnik dejansko veže. UDP je običajna izbira, ker izgubljeni datagram ne ustavi tunela, medtem ko lahko TCP preživi restriktivna omrežja za ceno blokiranja glave čakalne vrste znotraj tunela. Preklop profila z UDP na TCP ne prisili strežnika, da bi sprejel TCP; le prisili odjemalca, da pošilja na vrata, ki jih nihče ne bere.

Vrata 443 so priljubljena, ker prehajajo omrežja, ki ne dovoljujejo skoraj ničesar drugega, in ostanejo seja OpenVPN, ne zahteva HTTPS. Če operater objavi več vrstic remote, jih odjemalec preizkusi po vrsti, kar je seznam za preklop ob napaki, ne odločitev o porazdelitvi obremenitve. Ohranite kombinacije, ki jih je dobavil operater, namesto da bi mešali gostitelja iz enega vnosa z vrati iz drugega.

Vdelani ključi spremenijo ravnanje z datoteko

Potrdila in ključi so lahko vdelani med oznakami <ca>, <cert> in <key>, ali navedeni kot ločene datoteke. Vdelano gradivo naredi profil samozadosten in hkrati tudi skrivnost, ker zasebni ključ odjemalca potuje v njem. Potrdilo CA je javno gradivo zaupanja in ga je varno deliti; zasebni ključ ni, tudi ko je videti kot neberljiv blok besedila.

Geslo, ki ščiti ključ, je ločena skrivnost od gesla računa, njuna zamenjava pa povzroči napako overjanja, ki je videti kot napačne poverilnice.

Poti in DNS morda sploh ne prihajajo iz datoteke

Usmerjanje lahko potisne strežnik, nastavi profil z redirect-gateway, ali ostane pri lastnih privzetih vrednostih odjemalca. Zato prenesena datoteka ne določa povsem, kam gre promet po dvigu tunela. Ko se notranja imena razrešujejo, javna mesta pa ne, politika razdeljenega tunela počne tisto, za kar je bila zasnovana, in ne spodleti.

DNS sledi istemu vzorcu: potisnjeni dhcp-option DNS lahko odjemalec uporabi, prezre ali pa ga lokalni upravitelj razreševalnika prepiše. Po povezavi preverite stanje razreševalnika, namesto da bi znova brali profil.

Nepodprte možnosti so vprašanje različice odjemalca

Opozorila ob uvozu običajno pomenijo, da odjemalec ne izvaja direktive, ne pa da je datoteka poškodovana. Namizni odjemalci lahko izvajajo skripte in vtičnike pod dokumentiranim nadzorom, mobilni odjemalci pa sprejmejo ožji nabor in lahko tiho izpustijo vrstice, ki jih ne razumejo. Nastavitev šifriranja ali TLS, ki jo starejši odjemalec zavrne, je težava različice, ki jo je treba rešiti z operaterjem. Omogočanje neznanih pravic za vsiljen uvoz zamenja opozorilo za širšo napadalno površino.

Shranite izvirno datoteko za primerjavo, v zahtevo zapišite točno nepodprto direktivo in prosite za profil, zgrajen za odjemalca, ki ga resnično uporabljate.

Po vsaki zamenjavi potrdite, kateri vnos profila uporablja aplikacija, ker uvoz nove datoteke ne prepiše vedno stare.