Ano ang talagang nilalaman ng isang .ovpn file, at ano ang hindi nito kayang gawin

Inaakala ng karamihan na ang .ovpn file ay nagko-configure ng VPN. Hindi ganoon: isang client lang ang kinokonfigure nito, at lahat ng hinihiling nito ay dapat umiiral na sa kabilang panig. Ang pagbabago ng isang linya sa file ay makakabago ng sinusubukan ng iyong makina, hindi kailanman ng inaalok ng server. Ang pagkakaibang iyon ang nagpapaliwanag sa halos lahat ng kalituhan tungkol sa mga profile na hindi na-import o hindi kumokonekta.

Basahin ang file bilang listahan ng mga hiling na nakatuon sa iyong client, at halos lahat ng linya nito ay magiging malinaw.

Inilalarawan ng file ang iyong client, hindi ang server

Pinagsasama ng isang profile ang remote endpoint, isang transport, isang uri ng interface, materyal ng pagkakakilanlan at anumang pag-uugali sa panig ng client na gusto ng operator. Bawat linya ay ipinapatupad ng client sa pagsisimula. Wala sa mga ito ang nakakarating sa server bilang pagbabago ng configuration, at wala rin ang makakagawa ng tagapakinig na hindi pa tumatakbo. Isang profile na nagsasaad ng TCP 443 laban sa isang server na nakikinig lamang sa UDP 1194 ay nabigo sa unang packet.

Kaya nga iba ang pag-uugali ng parehong file sa dalawang client: ang file ay humihiling, at ang client ang nagpapasya kung gaano kalaki ang kaya nitong tuparin.

Ang mga linya ng transport ay dapat tumugma sa tagapakinig na umiiral na

proto at remote ay dapat tumugma sa aktwal na binibigkis ng server. UDP ang karaniwang pinipili dahil ang nawalang datagram ay hindi nagpapahinto sa tunnel, habang ang TCP ay makakaligtas sa mahihigpit na network kapalit ng pagharang sa unahan ng pila sa loob ng tunnel. Ang pagpapalit ng profile mula UDP patungong TCP ay hindi nagpapagawa sa server na tanggapin ang TCP; pinapadala lang nito ang client sa isang port na walang nagbabasa.

Sikat ang port 443 dahil dumadaan ito sa mga network na halos walang ibang pinapayagan, at nananatili itong OpenVPN session sa halip na isang HTTPS na hiling. Kung maglalathala ang operator ng maraming remote linya, sinusubukan ito ng client nang sunud-sunod, na isang listahan ng failover at hindi isang desisyon sa pagbabalanse ng karga. Panatilihin ang mga kombinasyong ibinigay ng operator sa halip na paghaluin ang host mula sa isang entry at port mula sa iba.

Binabago ng mga naka-embed na key kung paano mo hinahawakan ang file

Ang mga certificate at key ay maaaring nakalagay nang inline sa pagitan ng mga tag na <ca>, <cert> at <key>, o tinutukoy bilang magkakahiwalay na file. Ginagawa ng naka-embed na materyal na makapag-iisa ang profile at ginagawa rin itong lihim, dahil ang pribadong key ng client ay naglalakbay sa loob nito. Ang CA certificate ay pampublikong materyal ng pagtitiwala at ligtas ibahagi; ang pribadong key ay hindi, kahit mukha pa itong hindi mababasang bloke ng teksto.

Ang passphrase na nagpoprotekta sa isang key ay hiwalay na lihim sa password ng account, at ang paghahalo sa kanila ay nagbubunga ng kabiguan ng pagpapatunay na mukhang maling kredensyal.

Ang mga ruta at DNS ay maaaring hindi nagmumula sa file

Ang routing ay maaaring itulak ng server, itakda ng profile gamit ang redirect-gateway, o iwanan sa sariling mga default ng client. Kaya nga hindi lubos na tinutukoy ng na-download mong file kung saan pupunta ang trapiko pagkatapos umangat ang tunnel. Kapag naresolba ang mga panloob na pangalan at hindi ang mga pampublikong site, ginagawa ng patakaran ng split tunnel ang inilaan nito, hindi ito nabigo.

Sinusunod ng DNS ang parehong hinabi: dhcp-option DNS na itinulak ay maaaring ilapat ng client, balewalain, o mapawalang-bisa ng lokal na tagapamahala ng resolver. Suriin ang kalagayan ng resolver pagkatapos kumonekta sa halip na basahin muli ang profile.

Ang mga hindi suportadong opsyon ay tanong ng bersyon ng client

Ang mga babala sa pag-import ay karaniwang nangangahulugan na hindi ipinapatupad ng client ang isang direktiba, hindi na sira ang file. Ang mga desktop client ay makakapagpatakbo ng mga script at plugin sa ilalim ng nakadokumentong kontrol, habang ang mga mobile client ay tumatanggap ng mas makitid na hanay at maaaring tahimik na itapon ang mga linyang hindi nila nauunawaan. Ang setting ng cipher o TLS na tinatanggihan ng lumang client ay suliranin ng bersyon na dapat ayusin kasama ng operator. Ang pagpapagana ng mga hindi pamilyar na pribilehiyo para pilitin ang pag-import ay nagpapalit ng babala sa mas malawak na ibabaw ng pag-atake.

Itago ang orihinal na file para sa paghahambing, isulat ang eksaktong hindi suportadong direktiba sa iyong kahilingan, at humingi ng profile na ginawa para sa client na aktwal mong pinapatakbo.

Pagkatapos ng anumang pagpapalit, tiyakin kung aling entry ng profile ang ginagamit ng app, dahil ang pag-import ng bagong file ay hindi laging nagsusulat sa ibabaw ng luma.