Pagdadala ng profile ng OpenVPN: mga natitipid na susi kumpara sa mga opsyon ng platform

Ang parehong .ovpn file ay nagbubukas ng tunel sa isang kliyente at hindi nagsisimula sa iba, at ang sertipiko ang karaniwang unang pinaghihinalaan. Mas madalas may direktiba ang file na isang engine lang ang nagpapatupad. Ang profile ay kontrata sa isang partikular na kliyente, hindi isang naidadalang script.

Ihiwalay ang naglalakbay kasama ng pagkakakilanlan sa nabibilang sa isang platform. Kung gayon, ang pagkabigo ay karaniwang nagsasabi ng sarili nitong pangalan.

Isang file, dalawang kontrata

Pinagsasama ng profile ang tatlong uri ng nilalaman: materyal ng pagkakakilanlan gaya ng CA at sertipiko ng kliyente at pribadong susi, mga katotohanan ng transportasyon gaya ng malayong endpoint at protocol, at mga direktiba ng pag-uugali gaya ng paghawak ng DNS o mga opsyon ng aparato. Ang unang dalawa ay malawak na naidadala sa pagitan ng mga engine na sumusuporta sa parehong protocol. Ang pangatlo ang lugar kung saan nagkakaiba ang mga implementasyon. Ang pagtrato sa buong file bilang isang naidadalang yunit ang lumilikha ng nakakalitong pagkabigo.

Ang file na gumagana sa isang GUI sa isang platform ay hindi awtomatikong wasto para sa command-line na kliyente sa iba. Kahit pareho silang OpenVPN, nagkakaiba ang mga parser at set ng opsyon. Kaya ang matagumpay na pag-import ay hindi patunay ng naidadalang profile.

Naidadalang materyal kumpara sa mga direktiba ng platform

Ang mga seksyon ng pagkakakilanlan at transportasyon ang bahaging dapat ingatan. Inilalarawan ng ca, cert, key at remote kung sino ang kumokonekta at saan, at pareho ang ibig sabihin nila para sa bawat umaayon na kliyente.

Ang mga direktiba ng pag-uugali ang bahaging dapat ihambing. Ang block-outside-dns, halimbawa, ay umiiral upang baguhin ang pag-uugali ng DNS sa Windows. Maaaring hindi ito makilala ng isang Unix na kliyente.

Basahin ang listahan ng opsyon ng tumatanggap na kliyente, hindi ng nagpapadala. Itinatala ng OpenVPN 2.6 reference manual ang mga opsyon ng engine, at ang import dialog ng isang GUI ay hindi ang listahang iyon.

Basahin ang error ng parser bago ang sertipiko

Ang error na nagngangalan ng hindi kilalang opsyon ay pagkabigo ng parser, hindi pagkabigo ng pagpapatunay. Hindi kailanman umabot sa TLS ang koneksyon, kaya hindi makakatulong ang pagpapalit ng sertipiko. Basahin ang unang error mula sa aktwal na kliyente at bersyon, pagkatapos alisin o palitan lamang ang direktibang hindi maipatupad ng kliyenteng iyon. Ang pagbura ng mga seksyon ng sertipiko o ruta upang mag-load ang file ay siyang paraang nagiging hindi ligtas ang isang gumaganang profile.

Kung binanggit ng error ang handshake, isang sertipiko o isang cipher, na-parse ang profile at nasa ibang lugar ang problema.

Itabi ang orihinal na file sa tabi ng inangkop. Kapag nabigo ang inangkop na file sa hinaharap, ang orihinal ang kontrol na nagsasabi kung ang pagbabago o ang kapaligiran ang gumalaw.

Ang mga pribilehiyo ay pangalawang hangganan

Ang mga pribilehiyo ang kabilang hangganan: ang paglikha ng tunnel device, pag-install ng mga ruta at pagbasa ng pribadong susi ay nakadepende lahat sa lokal na mga pahintulot. Ang key file na nababasa lang ng root ay normal na deployment, hindi depekto ng profile. Ang pagwawasto ay nasa pagmamay-ari o kakayahan, hindi sa file.

Ang pagpapatakbo ng kliyente gamit ang sudo ay maaaring makalutas ng lokal na pagtanggi sa pahintulot, at hindi ito makapagdadagdag ng direktibang hindi ipinatutupad ng binary. Binabago rin nito kung aling keyring ng user, mga landas ng configuration at konteksto ng network manager ang applicable, kaya ang resulta ay hindi ang parehong pagsubok.

Mag-angkop nang sadya

Kapag naglathala ang provider ng hiwalay na mga profile, kunin ang inilaan para sa tumatanggap na kliyente. Ang pag-angkop ng file ng ibang platform ay huling paraan. Kailangan nito ng tala ng bawat binagong opsyon at kopya ng orihinal.

Subukan ang pagkakakilanlan, routing at DNS bilang tatlong hiwalay na resulta. Ang profile na nagpapatunay at nagru-ruta ngunit sumisira sa paglutas ng pangalan ay bahagyang inangkop na profile, hindi gumagana.