Transportueshmëria e profilit OpenVPN: çelësa të transportueshëm kundrejt opsioneve të platformës

I njëjti skedar .ovpn hap një tunel në një klient dhe nuk niset në një tjetër, dhe certifikata është zakonisht i dyshuari i parë. Më shpesh skedari përmban një direktivë që vetëm një motor e zbaton. Një profil është kontratë me një klient të caktuar, jo skript i transportueshëm.

Ndani atë që udhëton me identitetin nga ajo që i përket një platforme. Atëherë dështimi zakonisht e emërton vetveten.

Një skedar, dy kontrata

Profili bashkon tre lloje përmbajtjeje: material identiteti si certifikatat CA dhe të klientit dhe çelësi privat, fakte transporti si pika e skajshme e largët dhe protokolli, dhe direktiva sjelljeje si trajtimi i DNS ose opsionet e pajisjes. Dy të parat janë gjerësisht të transportueshme mes motorëve që mbështesin të njëjtin protokoll. E treta është vendi ku implementimet ndahen. Trajtimi i të gjithë skedarit si një njësi e vetme e transportueshme është ajo që prodhon dështimet konfuze.

Një skedar që punon në një GUI në një platformë nuk është automatikisht i vlefshëm për klientin e rreshtit të komandës në një tjetër. Edhe kur të dy janë OpenVPN, analizatorët dhe grupet e opsioneve ndryshojnë. Prandaj një import i suksesshëm nuk është provë e një profili të transportueshëm.

Material i transportueshëm kundrejt direktivave të platformës

Seksionet e identitetit dhe transportit janë pjesa që duhet ruajtur. ca, cert, key dhe remote përshkruajnë kush lidhet dhe ku, dhe nënkuptojnë të njëjtën gjë për çdo klient në përputhje.

Direktivat e sjelljes janë pjesa që duhet krahasuar. block-outside-dns, për shembull, ekziston për të ndryshuar sjelljen e DNS në Windows. Një klient Unix mund të mos e njohë fare.

Lexoni listën e opsioneve të klientit që pranon, jo të atij që dërgon. Manuali referues i OpenVPN 2.6 dokumenton opsionet e motorit, dhe dialogu i importit në një GUI nuk është ai listë.

Lexoni gabimin e analizatorit para certifikatës

Një gabim që emërton një opsion të panjohur është dështim i analizatorit, jo dështim i vërtetimit. Lidhja nuk arriti kurrë TLS, prandaj ndryshimi i certifikatave nuk mund të ndihmojë. Lexoni gabimin e parë nga klienti dhe versioni realë, pastaj hiqni ose zëvendësoni vetëm direktivën që ai klient nuk mund të zbatojë. Fshirja e seksioneve të certifikatës ose të rrugëve që skedari të ngarkohet është rruga se si një profil funksional bëhet i pasigurt.

Nëse gabimi përmend shtrëngimin e duarve, një certifikatë ose një shifër, profili u analizua dhe problemi është diku tjetër.

Mbajeni skedarin origjinal pranë atij të përshtatur. Kur skedari i përshtatur dështon më vonë, origjinali është kontrolli që tregon nëse lëvizi ndryshimi apo mjedisi.

Privilegjet janë një kufi i dytë

Privilegjet janë kufiri tjetër: krijimi i një pajisjeje tuneli, instalimi i rrugëve dhe leximi i një çelësi privat varen të gjitha nga lejet lokale. Një skedar çelësi që lexohet vetëm nga root është një vendosje normale, jo defekt i profilit. Rregullimi i përket pronësisë ose aftësive, jo skedarit.

Ekzekutimi i klientit me sudo mund të zgjidhë një refuzim lokal lejeje, dhe nuk mund të shtojë një direktivë që binari nuk e zbaton. Ai ndryshon gjithashtu cilën varëse çelësash, cilat shtigje konfigurimi dhe cilin kontekst të menaxherit të rrjetit zbatohen, prandaj rezultati nuk është i njëjti test.

Përshtatni me qëllim

Kur një ofrues boton profile të veçanta, merrni atë të destinuar për klientin që pranon. Përshtatja e skedarit të një platforme tjetër është zgjidhja e fundit. Kërkon një regjistrim të çdo opsioni të ndryshuar dhe një kopje të origjinalit.

Testoni identitetin, rrugëtimin dhe DNS si tre rezultate të veçanta. Një profil që vërteton dhe rrugëton, por thyen zgjidhjen e emrave, është një profil pjesërisht i përshtatur, jo funksional.