Importera en .ovpn-fil: vad den installerar och vad den inte gör

Du importerade profilen, klienten rapporterar att den är ansluten och systemets certifikatlista ser exakt ut som tidigare. Det är det förväntade resultatet, inte en misslyckad import. En .ovpn-fil är en textkonfiguration som talar om för en kompatibel OpenVPN-klient hur den når en server och hur den autentiserar sig, och den skriver aldrig något till enhetens förtroendelager. Två fel följer av denna förvirring: att förvänta sig att en inbyggd VPN-typ ska dyka upp, och att dra slutsatsen att importen misslyckades eftersom inget certifikat dök upp.

Tron att en import installerar ett certifikat

Profilen kan bära certifikatmaterial inbäddat, och det är därifrån idén kommer: ett textblock mellan vinkelparenteser ser ut som en installation. Klienten tolkar det i stället som konfiguration och lämnar certifikatet till sitt eget TLS-lager och inte till operativsystemet. Ingenting läggs till i enhetens förtroendeinställningar, och ingenting bör läggas till. Filen beskriver en anslutning, medan förtroendelagret beskriver vem enheten är beredd att tro på.

En profil är också oanvändbar utan den privata nyckel den refererar till, vilket är ett annat skäl till att den inte är ett certifikat. Hämta filen från operatörens verifierade kanal och behandla den som känslig, eftersom den kan innehålla identitetsmaterial som tillhör dig. Förlorar du nyckeln blir profilen en beskrivning av en anslutning du inte kan upprätta.

Öppna filen så som klienten dokumenterar

Använd klientens dokumenterade filimportsval i stället för att byta namn på filändelsen eller klistra in texten i en orelaterad VPN-dialog. Vissa produkter accepterar också en URL eller ett packat arkiv, och det är separata metoder som stöds med sina egna fellägen. Om certifikat eller nycklar kommer som separata filer, ta reda på hur klienten förväntar sig att ta emot dem innan du flyttar något. Att kopiera bara .ovpn-texten till en andra maskin lämnar varje refererad sökväg pekande på en fil som inte finns där, och felet du får kommer att handla om en saknad fil och inte om en saknad import.

Det är portabilitetsfällan i en rad: texten reser och referenserna gör det inte. Placera de refererade filerna i den layout klienten dokumenterar, eller konvertera profilen till inbäddad form om klienten stöder det.

Inbäddat material kontra refererade filer

En inbäddad profil bär CA, certifikat och nyckel inne i filen, så den är självständig och portabel, men också ett enda objekt som måste skyddas lika noga som nyckeln i den. En profil med referenser anger sökvägar på disken, vilket bara fungerar där sökvägarna finns och där klienten körs med tillstånd att läsa dem. Att flytta den ena formen utan den andra är det vanliga portabilitetsfelet, och det visar sig som ett TLS-fel och inte som ett importfel. Ingen av formerna ändrar säkerhetsmodellen, eftersom klienten fortfarande validerar servern och fortfarande behöver en användbar privat nyckel.

En profil som stänger av verifieringen för att importen ska lyckas har bytt ut kontrollen mot en synvilla av framsteg. Ställ tillbaka inställningen innan du ansluter till något verkligt.

Ett avvisat direktiv är en missanpassning mot klienten

Ett direktiv som en skrivbordsklient accepterar kan avvisas av en mobilklient eller en förenklad skrivbordsversion, och skriptkrokar, routingkommandon och vissa transportalternativ faller i den kategorin. Klienten är inte besvärlig; den vägrar köra instruktioner som den inte kan upprätthålla. Importfel namnger vanligtvis direktivet, och det namnet är mycket mer användbart än ett allmänt meddelande om att import inte är möjlig. Sök upp namnet i klientens egen dokumentation innan du ens redigerar profilen.

Ta inte bort serververifieringen och aktivera inte okänd skriptning bara för att få igenom importen. Hitta antingen en klient som stöder direktivet eller be operatören om en profil skriven för den klient du faktiskt kör. Att ta bort en rad för att tysta ett fel ändrar vad anslutningen garanterar, och den ändringen överlever importen.

Kontrollera den post du faktiskt startar

Ingenting garanterar att filen du just laddade ner ersatte kopian som importerades förra månaden, så bekräfta namnet på den valda profilen och dess serveruppgifter innan du ansluter. Efter anslutning, testa den resurs du faktiskt behöver och granska beteendet för routing och DNS, eftersom en slutförd anslutning bara är det första steget. Om profilen avvisas, spara det exakta importmeddelandet och klientversionen, eftersom det är ett annat problem än en profil som importeras och sedan inte når sin server. OpenVPN-handboken dokumenterar de direktiv en profil kan innehålla, och det är referensen som ska kontrolleras innan du redigerar en.

När ersättningen fungerar, avveckla den gamla posten med klientens egen borttagningskontroll. Att ta bort filen från Hämtade filer lämnar den lagrade anslutningen i appen orörd. Avsluta med att notera vilket profilnamn som är aktivt, så att nästa person inte ansluter via kopian du tänkte avveckla.