ความสามารถพกพาของโปรไฟล์ OpenVPN: คีย์ที่พกพาได้กับการเลือกค่าของแพลตฟอร์ม

ไฟล์ .ovpn เดียวกันเปิดอุโมงค์ในไคลเอนต์หนึ่งและไม่สามารถเริ่มในอีกไคลเอนต์ได้ และใบรับรองมักเป็นผู้ต้องสงสัยรายแรก บ่อยครั้งไฟล์มีคำสั่งที่เอนจินเดียวเท่านั้นที่ใช้งานได้ โปรไฟล์คือสัญญากับไคลเอนต์ที่เฉพาะเจาะจง ไม่ใช่สคริปต์ที่พกพาได้

แยกสิ่งที่เดินทางไปกับตัวตนออกจากสิ่งที่เป็นของแพลตฟอร์ม แล้วความล้มเหลวมักจะบอกชื่อตัวเอง

ไฟล์เดียว สองสัญญา

โปรไฟล์รวมเนื้อหาสามประเภท: วัสดุระบุตัวตน เช่น ใบรับรอง CA และไคลเอนต์กับคีย์ส่วนตัว ข้อเท็จจริงการรับส่ง เช่น จุดปลายทางระยะไกลและโปรโตคอล และคำสั่งด้านพฤติกรรม เช่น การจัดการ DNS หรือตัวเลือกอุปกรณ์ สองประเภทแรกพกพาได้กว้างขวางระหว่างเอนจินที่รองรับโปรโตคอลเดียวกัน ประเภทที่สามคือจุดที่การใช้งานต่างกัน การมองทั้งไฟล์เป็นหน่วยพกพาเดียวคือสิ่งที่สร้างความล้มเหลวที่น่าสับสน

ไฟล์ที่ทำงานใน GUI บนแพลตฟอร์มหนึ่งไม่จำเป็นต้องใช้ได้กับไคลเอนต์บรรทัดคำสั่งบนอีกแพลตฟอร์มหนึ่ง แม้ทั้งคู่เป็น OpenVPN ตัวแยกวิเคราะห์และชุดตัวเลือกก็ต่างกัน ด้วยเหตุนี้การนำเข้าที่สำเร็จจึงไม่ใช่หลักฐานของโปรไฟล์ที่พกพาได้

วัสดุที่พกพาได้กับคำสั่งของแพลตฟอร์ม

ส่วนตัวตนและการรับส่งคือส่วนที่ต้องเก็บรักษาไว้ ca, cert, key และ remote อธิบายว่าใครเชื่อมต่อและที่ไหน และมีความหมายเดียวกันสำหรับไคลเอนต์ที่สอดคล้องทุกตัว

คำสั่งด้านพฤติกรรมคือส่วนที่ต้องเปรียบเทียบ block-outside-dns ตัวอย่างเช่น มีอยู่เพื่อเปลี่ยนพฤติกรรม DNS ใน Windows ไคลเอนต์ Unix อาจไม่รู้จักเลยด้วยซ้ำ

อ่านรายการตัวเลือกของไคลเอนต์ผู้รับ ไม่ใช่ของผู้ส่ง คู่มืออ้างอิง OpenVPN 2.6 บันทึกตัวเลือกของเอนจิน และกล่องโต้ตอบนำเข้าของ GUI ไม่ใช่รายการนั้น

อ่านข้อผิดพลาดของตัวแยกวิเคราะห์ก่อนใบรับรอง

ข้อผิดพลาดที่ระบุตัวเลือกที่ไม่รู้จักคือความล้มเหลวของตัวแยกวิเคราะห์ ไม่ใช่ความล้มเหลวของการพิสูจน์ตัวตน การเชื่อมต่อไม่เคยไปถึง TLS ดังนั้นการเปลี่ยนใบรับรองจึงช่วยไม่ได้ อ่านข้อผิดพลาดแรกจากไคลเอนต์และเวอร์ชันจริง แล้วลบหรือแทนที่เฉพาะคำสั่งที่ไคลเอนต์นั้นใช้งานไม่ได้ การลบส่วนใบรับรองหรือเส้นทางเพื่อให้ไฟล์โหลดได้คือทางที่โปรไฟล์ที่ใช้งานได้กลายเป็นไม่ปลอดภัย

หากข้อผิดพลาดกล่าวถึงการจับมือ ใบรับรอง หรือการเข้ารหัส แสดงว่าโปรไฟล์ถูกแยกวิเคราะห์แล้วและปัญหาอยู่ที่อื่น

เก็บไฟล์ต้นฉบับไว้ข้างไฟล์ที่ปรับแล้ว เมื่อไฟล์ที่ปรับแล้วล้มเหลวในภายหลัง ต้นฉบับคือตัวควบคุมที่บอกว่าการเปลี่ยนแปลงหรือสภาพแวดล้อมเคลื่อนไป

สิทธิพิเศษคือพรมแดนที่สอง

สิทธิพิเศษคือพรมแดนอีกด้าน การสร้างอุปกรณ์อุโมงค์ การติดตั้งเส้นทาง และการอ่านคีย์ส่วนตัวล้วนขึ้นอยู่กับสิทธิ์ในเครื่อง ไฟล์คีย์ที่อ่านได้เฉพาะ root คือการติดตั้งปกติ ไม่ใช่ข้อบกพร่องของโปรไฟล์ การแก้ไขอยู่ในความเป็นเจ้าของหรือความสามารถ ไม่ใช่ในไฟล์

การเรียกใช้ไคลเอนต์ด้วย sudo อาจแก้การปฏิเสธสิทธิ์ในเครื่องได้ และไม่สามารถเพิ่มคำสั่งที่ไบนารีไม่ได้ใช้งาน การทำเช่นนี้ยังเปลี่ยนว่าคีย์ริงของผู้ใช้คนใด เส้นทางการกำหนดค่า และบริบทของผู้จัดการเครือข่ายใดมีผล ดังนั้นผลลัพธ์จึงไม่ใช่การทดสอบเดียวกัน

ปรับอย่างตั้งใจ

เมื่อผู้ให้บริการเผยแพร่โปรไฟล์แยกกัน ให้เลือกอันที่ตั้งใจไว้สำหรับไคลเอนต์ผู้รับ การปรับไฟล์ของแพลตฟอร์มอื่นเป็นทางเลือกสุดท้าย ต้องมีบันทึกของทุกตัวเลือกที่เปลี่ยนและสำเนาของต้นฉบับ

ทดสอบตัวตน การกำหนดเส้นทาง และ DNS เป็นสามผลลัพธ์แยกกัน โปรไฟล์ที่พิสูจน์ตัวตนและกำหนดเส้นทางได้แต่ทำให้การแปลงชื่อเสียคือโปรไฟล์ที่ปรับเพียงบางส่วน ไม่ใช่โปรไฟล์ที่ใช้งานได้