การนำเข้าไฟล์ .ovpn: สิ่งที่ติดตั้งและสิ่งที่ไม่ติดตั้ง

คุณนำเข้าโปรไฟล์แล้ว ไคลเอนต์รายงานว่าเชื่อมต่อแล้ว และรายการใบรับรองของระบบก็ดูเหมือนเดิมทุกประการ นี่คือผลลัพธ์ที่คาดไว้ ไม่ใช่การนำเข้าที่ล้มเหลว ไฟล์ .ovpn คือการกำหนดค่าแบบข้อความที่บอกไคลเอนต์ OpenVPN ที่เข้ากันได้ว่าต้องเข้าถึงเซิร์ฟเวอร์อย่างไรและพิสูจน์ตัวตนอย่างไร และมันไม่เคยเขียนสิ่งใดลงในที่เก็บความเชื่อถือของอุปกรณ์ ความสับสนนี้นำไปสู่ข้อผิดพลาดสองอย่าง คือการคาดว่าจะมีชนิด VPN แบบเนทีฟปรากฏขึ้น และการสรุปว่าการนำเข้าล้มเหลวเพราะไม่มีใบรับรองปรากฏขึ้น

ความเชื่อที่ว่าการนำเข้าติดตั้งใบรับรอง

โปรไฟล์สามารถบรรจุวัสดุใบรับรองไว้ภายในได้ และนั่นคือที่มาของแนวคิดนี้ บล็อกข้อความระหว่างวงเล็บมุมดูเหมือนการติดตั้ง ไคลเอนต์กลับตีความเป็นไฟล์กำหนดค่า และส่งใบรับรองให้ชั้น TLS ของตัวเองแทนที่จะส่งให้ระบบปฏิบัติการ ไม่มีสิ่งใดถูกเพิ่มลงในการตั้งค่าความเชื่อถือของอุปกรณ์ และก็ไม่ควรมี ไฟล์นี้อธิบายการเชื่อมต่อ ขณะที่ที่เก็บความเชื่อถืออธิบายว่าอุปกรณ์พร้อมจะเชื่อใคร

โปรไฟล์ยังไร้ประโยชน์หากไม่มีกุญแจส่วนตัวที่มันอ้างถึง และนี่ก็เป็นอีกเหตุผลที่มันไม่ใช่ใบรับรอง รับไฟล์จากช่องทางที่ยืนยันตัวตนแล้วของผู้ให้บริการ และถือว่าเป็นข้อมูลอ่อนไหว เพราะมันอาจฝังข้อมูลระบุตัวตนที่เป็นของคุณไว้ หากกุญแจหาย โปรไฟล์จะกลายเป็นคำอธิบายของการเชื่อมต่อที่คุณสร้างไม่ได้

เปิดไฟล์ตามที่ไคลเอนต์จัดทำเอกสาร

ใช้ตัวเลือกนำเข้าไฟล์ตามเอกสารของไคลเอนต์ แทนการเปลี่ยนนามสกุลไฟล์หรือวางข้อความลงในหน้าต่าง VPN ที่ไม่เกี่ยวข้อง ผลิตภัณฑ์บางตัวรับ URL หรือไฟล์เก็บถาวรที่แพ็กมาด้วย และนั่นเป็นวิธีที่รองรับแยกต่างหากซึ่งมีรูปแบบความล้มเหลวของตัวเอง หากใบรับรองหรือกุญแจมาเป็นไฟล์แยก ต้องค้นหาว่าไคลเอนต์คาดว่าจะรับไฟล์เหล่านั้นอย่างไรก่อนจะย้ายอะไร การคัดลอกเฉพาะข้อความ .ovpn ไปยังเครื่องที่สองทำให้ทุกเส้นทางที่อ้างถึงชี้ไปยังไฟล์ที่ไม่มีอยู่ที่นั่น และข้อผิดพลาดที่คุณได้รับจะพูดถึงไฟล์ที่หายไป ไม่ใช่การนำเข้าที่หายไป

นี่คือกับดักของการพกพาในประโยคเดียว ข้อความเดินทางได้ แต่การอ้างอิงไม่ไปด้วย วางไฟล์ที่อ้างถึงในโครงสร้างที่ไคลเอนต์จัดทำเอกสาร หรือแปลงโปรไฟล์เป็นรูปแบบฝังในไฟล์หากไคลเอนต์รองรับ

วัสดุแบบฝังในไฟล์กับการอ้างถึงไฟล์

โปรไฟล์แบบฝังบรรจุ CA ใบรับรอง และกุญแจไว้ในไฟล์ จึงพึ่งพาตนเองได้และพกพาได้ แต่มันก็เป็นวัตถุชิ้นเดียวที่ต้องปกป้องอย่างระมัดระวังเท่ากับกุญแจที่อยู่ข้างใน โปรไฟล์แบบอ้างอิงระบุเส้นทางบนดิสก์ ซึ่งทำงานได้เฉพาะที่ที่เส้นทางเหล่านั้นมีอยู่และที่ที่ไคลเอนต์ทำงานด้วยสิทธิ์อ่าน การย้ายรูปแบบหนึ่งโดยไม่มีอีกรูปแบบหนึ่งคือความล้มเหลวของการพกพาที่พบบ่อย และมันปรากฏเป็นข้อผิดพลาด TLS ไม่ใช่ข้อผิดพลาดการนำเข้า ไม่มีรูปแบบใดเปลี่ยนแบบจำลองความปลอดภัย เพราะไคลเอนต์ยังคงตรวจสอบเซิร์ฟเวอร์และยังต้องใช้กุญแจส่วนตัวที่ใช้งานได้

โปรไฟล์ที่ปิดการตรวจสอบเพื่อให้การนำเข้าสำเร็จได้แลกการตรวจสอบกับภาพลักษณ์ของความคืบหน้า คืนค่าการตั้งค่านั้นก่อนจะเชื่อมต่อกับสิ่งใดที่เป็นจริง

ไดเรกทีฟที่ถูกปฏิเสธคือความไม่เข้ากันของไคลเอนต์

ไดเรกทีฟที่ไคลเอนต์เดสก์ท็อปยอมรับอาจถูกปฏิเสธโดยไคลเอนต์มือถือหรือบิลด์เดสก์ท็อปแบบเรียบง่าย และฮุกสคริปต์ คำสั่งเส้นทาง และตัวเลือกการขนส่งบางอย่างก็อยู่ในหมวดนั้น ไคลเอนต์ไม่ได้ทำตัวยาก แต่ปฏิเสธที่จะรันคำสั่งที่มันบังคับใช้ไม่ได้ ข้อผิดพลาดการนำเข้ามักระบุชื่อไดเรกทีฟ และชื่อนั้นมีประโยชน์กว่าข้อความทั่วไปที่บอกว่านำเข้าไม่ได้มาก ค้นหาชื่อนั้นในเอกสารของไคลเอนต์เองก่อนจะแก้ไขโปรไฟล์เลย

อย่าถอดการตรวจสอบเซิร์ฟเวอร์และอย่า เปิดใช้สคริปต์ที่ไม่คุ้นเคย เพียงเพื่อให้การนำเข้าผ่าน หาไคลเอนต์ที่รองรับไดเรกทีฟนั้น หรือขอโปรไฟล์ที่เขียนสำหรับไคลเอนต์ที่คุณใช้งานจริงจากผู้ให้บริการ การลบบรรทัดหนึ่งเพื่อระงับข้อผิดพลาดเปลี่ยนสิ่งที่การเชื่อมต่อรับประกัน และการเปลี่ยนแปลงนั้นอยู่ต่อหลังการนำเข้า

ตรวจสอบรายการที่คุณเปิดใช้จริง

ไม่มีอะไรรับประกันว่าไฟล์ที่เพิ่งดาวน์โหลดมาแทนที่สำเนาที่นำเข้าเมื่อเดือนที่แล้ว ดังนั้นยืนยันชื่อโปรไฟล์ที่เลือกและรายละเอียดเซิร์ฟเวอร์ก่อนเชื่อมต่อ หลังเชื่อมต่อ ให้ทดสอบทรัพยากรที่คุณต้องการจริงและตรวจดูพฤติกรรมการกำหนดเส้นทางและ DNS เพราะการเชื่อมต่อที่สำเร็จเป็นเพียงขั้นแรก หากโปรไฟล์ถูกปฏิเสธ ให้เก็บข้อความการนำเข้าที่แน่นอนและเวอร์ชันของไคลเอนต์ไว้ เพราะนั่นเป็นปัญหาที่ต่างจากโปรไฟล์ที่นำเข้าได้แต่ต่อมาไปไม่ถึงเซิร์ฟเวอร์ของมัน คู่มือ OpenVPN จัดทำเอกสารไดเรกทีฟที่โปรไฟล์อาจมีได้ และนั่นคือแหล่งอ้างอิงที่ต้องตรวจสอบก่อนแก้ไข

เมื่อตัวแทนทำงานได้ ให้ปลดระวางรายการเก่าด้วยตัวควบคุมการลบของไคลเอนต์เอง การลบไฟล์ออกจากโฟลเดอร์ดาวน์โหลดทำให้การเชื่อมต่อที่เก็บไว้ในแอปยังคงอยู่โดยไม่ถูกแตะต้อง ปิดท้ายด้วยการบันทึกว่าชื่อโปรไฟล์ใดใช้งานอยู่ เพื่อให้คนถัดไปไม่เชื่อมต่อผ่านสำเนาที่คุณตั้งใจจะปลดระวาง