Преносивост OpenVPN профила: преносиви кључеви наспрам опција платформе

Иста .ovpn датотека отвара тунел у једном клијенту, а у другом се не покреће, и сертификат је обично први осумњичени. Чешће датотека садржи директиву коју примењује само један мотор. Профил је уговор са одређеним клијентом, а не преносива скрипта.

Одвојите оно што путује са идентитетом од онога што припада платформи. Тада се квар обично сам именује.

Једна датотека, два уговора

Профил обједињује три врсте садржаја: идентитетски материјал, као што су CA и клијентски сертификати и приватни кључ, транспортне чињенице, као што су удаљена завршна тачка и протокол, и директиве понашања, као што је руковање DNS-ом или опције уређаја. Прве две су широко преносиве међу моторима који подржавају исти протокол. Трећа је место где се имплементације разилазе. Управо третирање целе датотеке као једне преносиве целине ствара збуњујуће кварове.

Датотека која ради у GUI-ју на једној платформи није аутоматски важећа за клијента командне линије на другој. Чак и када су оба OpenVPN, парсери и скупови опција се разликују. Зато успешан увоз није доказ преносивог профила.

Преносиви материјал наспрам директива платформе

Одељци идентитета и преноса су део који треба сачувати. ca, cert, key и remote описују ко се и куда повезује, и значе исто сваком сагласном клијенту.

Директиве понашања су део који треба упоредити. block-outside-dns, на пример, постоји да промени понашање DNS-а у Windows-у. Unix клијент можда уопште не препознаје ту директиву.

Читајте листу опција клијента који прима, а не онога који шаље. Референтни приручник OpenVPN 2.6 документује опције мотора, а дијалог за увоз у GUI-ју није та листа.

Прочитајте грешку парсера пре сертификата

Грешка која именује непрепознату опцију је отказ парсера, а не отказ аутентификације. Веза никада није стигла до TLS-а, па промена сертификата не може помоћи. Прочитајте прву грешку из стварног клијента и верзије, затим уклоните или замените само ону директиву коју тај клијент не може да примени. Брисање одељака са сертификатом или рутама да би се датотека учитала је пут којим радни профил постаје небезбедан.

Ако грешка помиње руковање, сертификат или шифру, профил је парсиран и проблем је другде.

Сачувајте изворну датотеку поред прилагођене. Када прилагођена датотека касније откаже, изворна је контрола која каже да ли се померила измена или окружење.

Привилегије су друга граница

Привилегије су друга граница: стварање тунелског уређаја, инсталирање рута и читање приватног кључа зависе од локалних дозвола. Датотека кључа коју може да чита само root је уобичајено распоређивање, а не дефект профила. Исправка припада власништву или способностима, не датотеци.

Покретање клијента са sudo може да реши локално одбијање дозволе и не може да дода директиву коју бинарни програм не примењује. Такође мења чији привезак кључева, путање конфигурације и контекст мрежног менаџера важе, па резултат није исти тест.

Прилагодите намерно

Када добављач објављује одвојене профиле, узмите онај намењен клијенту који прима. Прилагођавање датотеке друге платформе је последње средство. Захтева запис о свакој измењеној опцији и копију оригинала.

Тестирајте идентитет, усмеравање и DNS као три одвојена исхода. Профил који се аутентификује и усмерава, али квари разрешавање имена, је делимично прилагођен профил, а не радни.