.ovpn ไฟล์มีอะไรอยู่จริง ๆ และทำอะไรไม่ได้บ้าง

คนส่วนใหญ่มักคิดว่าไฟล์ .ovpn ใช้ตั้งค่า VPN แต่ไม่ใช่: มันตั้งค่าไคลเอนต์เพียงตัวเดียว และทุกอย่างที่มันขอต้องมีอยู่แล้วในอีกฝั่งหนึ่ง การแก้ไขบรรทัดในไฟล์เปลี่ยนสิ่งที่เครื่องของคุณพยายามทำได้ แต่ไม่เคยเปลี่ยนสิ่งที่เซิร์ฟเวอร์เสนอให้ ความแตกต่างนี้อธิบายความสับสนส่วนใหญ่เกี่ยวกับโปรไฟล์ที่นำเข้าไม่ได้หรือเชื่อมต่อไม่ได้

อ่านไฟล์นี้เป็นรายการคำขอที่ส่งถึงไคลเอนต์ของคุณ แล้วบรรทัดส่วนใหญ่ก็จะชัดเจน

ไฟล์นี้อธิบายไคลเอนต์ของคุณ ไม่ใช่เซิร์ฟเวอร์

โปรไฟล์รวม remote ปลายทาง การรับส่ง ชนิดอินเทอร์เฟซ วัสดุระบุตัวตน และพฤติกรรมฝั่งไคลเอนต์ใด ๆ ที่ผู้ให้บริการต้องการ แต่ละบรรทัดถูกเรียกใช้โดยไคลเอนต์ตอนเริ่มทำงาน ไม่มีบรรทัดใดไปถึงเซิร์ฟเวอร์ในฐานะการเปลี่ยนการตั้งค่า และไม่มีบรรทัดใดสร้างตัวรับฟังที่ยังไม่ทำงานอยู่ได้ โปรไฟล์ที่ระบุ TCP 443 กับเซิร์ฟเวอร์ที่รับฟังเฉพาะ UDP 1194 จะล้มเหลวตั้งแต่แพ็กเก็ตแรก

นี่คือเหตุผลที่ไฟล์เดียวกันทำงานต่างกันบนไคลเอนต์สองตัว: ไฟล์เป็นฝ่ายขอ และไคลเอนต์เป็นฝ่ายตัดสินว่าจะทำตามคำขอได้มากแค่ไหน

บรรทัดการรับส่งต้องตรงกับตัวรับฟังที่มีอยู่แล้ว

proto และ remote ต้องตรงกับสิ่งที่เซิร์ฟเวอร์ผูกไว้จริง UDP เป็นตัวเลือกปกติเพราะเดตาแกรมที่หายไปไม่ทำให้อุโมงค์หยุด ส่วน TCP ทนเครือข่ายที่จำกัดได้ในราคาของการบล็อกหัวคิวภายในอุโมงค์ การเปลี่ยนโปรไฟล์จาก UDP เป็น TCP ไม่ทำให้เซิร์ฟเวอร์ยอมรับ TCP แต่ทำให้ไคลเอนต์ส่งไปยังพอร์ตที่ไม่มีใครอ่าน

พอร์ต 443 ได้รับความนิยมเพราะผ่านเครือข่ายที่แทบไม่อนุญาตอย่างอื่น และยังคงเป็นเซสชัน OpenVPN ไม่ใช่คำขอ HTTPS หากผู้ให้บริการเผยแพร่หลาย remote บรรทัด ไคลเอนต์จะลองตามลำดับ ซึ่งเป็นรายการสลับเมื่อล้มเหลว ไม่ใช่การตัดสินใจกระจายโหลด ให้คงชุดค่าที่ผู้ให้บริการส่งมาแทนที่จะผสมโฮสต์จากรายการหนึ่งกับพอร์ตจากอีกรายการ

คีย์ที่ฝังอยู่เปลี่ยนวิธีจัดการไฟล์

ใบรับรองและคีย์อาจอยู่แบบอินไลน์ระหว่างแท็ก <ca>, <cert> และ <key> หรืออ้างอิงเป็นไฟล์แยก วัสดุที่ฝังไว้ทำให้โปรไฟล์พึ่งพาตัวเองได้ และยังทำให้มันเป็นความลับ เพราะคีย์ส่วนตัวของไคลเอนต์เดินทางอยู่ข้างใน ใบรับรอง CA เป็นวัสดุความเชื่อถือสาธารณะและแบ่งปันได้อย่างปลอดภัย ส่วนคีย์ส่วนตัวแบ่งปันไม่ได้ แม้จะดูเหมือนข้อความที่อ่านไม่ออกก็ตาม

วลีรหัสผ่านที่ปกป้องคีย์เป็นความลับแยกจากรหัสผ่านบัญชี และการสลับกันทำให้เกิดความล้มเหลวในการพิสูจน์ตัวตนที่ดูเหมือนข้อมูลรับรองผิด

เส้นทางและ DNS อาจไม่มาจากไฟล์เลย

เส้นทางอาจถูกเซิร์ฟเวอร์ผลักมา ถูกตั้งโดยโปรไฟล์ด้วย redirect-gateway หรือปล่อยไว้ตามค่าเริ่มต้นของไคลเอนต์เอง ดังนั้นไฟล์ที่คุณดาวน์โหลดมาจึงไม่ได้กำหนดทั้งหมดว่าทราฟฟิกจะไปที่ไหนหลังอุโมงค์ขึ้น เมื่อชื่อภายในแก้ได้แต่เว็บไซต์สาธารณะแก้ไม่ได้ นโยบายอุโมงค์แยกส่วนกำลังทำสิ่งที่ออกแบบมา ไม่ได้ล้มเหลว

DNS ทำตามรูปแบบเดียวกัน: dhcp-option DNS ที่ถูกผลักมาอาจถูกนำไปใช้โดยไคลเอนต์ ถูกเพิกเฉย หรือถูกเขียนทับโดยตัวจัดการตัวแก้ไขชื่อท้องถิ่น ตรวจสอบสถานะตัวแก้ไขชื่อหลังเชื่อมต่อแทนการอ่านโปรไฟล์ซ้ำ

ตัวเลือกที่ไม่รองรับเป็นคำถามเรื่องเวอร์ชันไคลเอนต์

คำเตือนตอนนำเข้าโดยปกติหมายความว่าไคลเอนต์ไม่ได้ใช้คำสั่งนั้น ไม่ใช่ไฟล์เสียหาย ไคลเอนต์เดสก์ท็อปเรียกใช้สคริปต์และปลั๊กอินภายใต้การควบคุมที่จัดทำเอกสารไว้ ส่วนไคลเอนต์มือถือรับชุดที่แคบกว่าและอาจทิ้งบรรทัดที่ไม่เข้าใจอย่างเงียบ ๆ การตั้งค่าหรือ TLS ที่ไคลเอนต์รุ่นเก่าปฏิเสธเป็นปัญหาเวอร์ชันที่ต้องแก้กับผู้ให้บริการ การเปิดสิทธิ์ที่ไม่คุ้นเคยเพื่อบังคับการนำเข้าแลกคำเตือนกับพื้นที่โจมตีที่กว้างขึ้น

เก็บไฟล์ต้นฉบับไว้เปรียบเทียบ จดคำสั่งที่ไม่รองรับให้ตรงในคำขอของคุณ และขอโปรไฟล์ที่สร้างสำหรับไคลเอนต์ที่คุณใช้จริง

หลังการแทนที่ใด ๆ ให้ยืนยันว่าแอปใช้รายการโปรไฟล์ใด เพราะการนำเข้าไฟล์ใหม่ไม่ได้เขียนทับไฟล์เก่าเสมอ