Bir .ovpn dosyası gerçekte ne içerir ve ne yapamaz

Çoğu insan bir .ovpn dosyasının VPN yapılandırdığını sanır. Öyle değil: dosya tek bir istemciyi yapılandırır ve istediği her şey karşı tarafta zaten var olmalıdır. Dosyadaki bir satırı değiştirmek makinenizin ne deneyeceğini değiştirebilir, sunucunun ne sunduğunu asla. Bu ayrım, içe aktarılamayan veya bağlanamayan profiller etrafındaki karışıklığın çoğunu açıklar.

Dosyayı istemcinize yöneltilmiş bir istek listesi olarak okuyun; satırlarının çoğu kendiliğinden anlaşılır.

Dosya istemcinizi tanımlar, sunucuyu değil

Bir profil bir remote uç noktasını, bir taşımayı, bir arayüz türünü, kimlik malzemesini ve işletmenin istediği her istemci tarafı davranışı bir araya getirir. Her satır başlangıçta istemci tarafından yürütülür. Hiçbiri yapılandırma değişikliği olarak sunucuya ulaşmaz ve hiçbiri zaten çalışmayan bir dinleyici oluşturamaz. Yalnızca UDP 1194 üzerinde dinleyen bir sunucuya karşı TCP 443 belirten bir profil ilk pakette başarısız olur.

Bu yüzden aynı dosya iki istemcide farklı davranır: dosya ister, istemci isteğin ne kadarını yerine getirebileceğine karar verir.

Taşıma satırları zaten var olan bir dinleyiciyle eşleşmelidir

proto ve remote satırları sunucunun gerçekte bağladığı şeyle eşleşmelidir. UDP olağan seçimdir çünkü kaybolan bir datagram tüneli durdurmaz; TCP ise kısıtlayıcı ağlarda tünel içinde sıra başı bloklaması pahasına ayakta kalabilir. Bir profili UDP'den TCP'ye geçirmek sunucunun TCP kabul etmesini sağlamaz; yalnızca istemcinin kimsenin okumadığı bir bağlantı noktasına göndermesine yol açar.

443 bağlantı noktası popülerdir çünkü neredeyse başka hiçbir şeye izin vermeyen ağlardan geçer ve bir OpenVPN oturumu olarak kalır, HTTPS isteği değil. İşletme birden çok remote satırı yayımlarsa istemci bunları sırayla dener; bu bir yük dengeleme kararı değil, arıza durumunda geçiş listesidir. İşletmenin gönderdiği birleşimleri koruyun, bir girdideki ana bilgisayarı başka bir girdideki bağlantı noktasıyla karıştırmayın.

Gömülü anahtarlar dosyayla baş etme biçimini değiştirir

Sertifikalar ve anahtarlar <ca>, <cert> ve <key> etiketleri arasında satır içi durabilir veya ayrı dosyalar olarak belirtilebilir. Gömülü malzeme profili kendi kendine yeterli kılar ve aynı zamanda onu bir sır yapar, çünkü istemcinin özel anahtarı onun içinde taşınır. CA sertifikası kamuya açık güven malzemesidir ve paylaşılması güvenlidir; özel anahtar değildir, okunamaz bir metin bloğu gibi görünse bile.

Bir anahtarı koruyan parola ifadesi hesap parolasından ayrı bir sırdır ve ikisini karıştırmak yanlış kimlik bilgisi gibi görünen bir kimlik doğrulama hatası üretir.

Rotalar ve DNS dosyadan hiç gelmeyebilir

Yönlendirme sunucu tarafından itilebilir, profil tarafından redirect-gateway ile ayarlanabilir ya da istemcinin kendi varsayılanlarına bırakılabilir. Bu yüzden indirdiğiniz dosya tünel açıldıktan sonra trafiğin nereye gideceğini tam olarak belirlemez. İç adlar çözülüp genel siteler çözülmediğinde, bölünmüş tünel ilkesi tasarlandığı şeyi yapıyordur, başarısız olmuyordur.

DNS aynı kalıbı izler: itilen dhcp-option DNS istemci tarafından uygulanabilir, yok sayılabilir veya yerel bir çözümleyici yöneticisi tarafından geçersiz kılınabilir. Profili yeniden okumak yerine bağlandıktan sonra çözümleyicinin durumunu kontrol edin.

Desteklenmeyen seçenekler istemci sürümü meselesidir

İçe aktarma uyarıları genellikle istemcinin bir yönergeyi uygulamadığı anlamına gelir, dosyanın bozuk olduğu değil. Masaüstü istemciler belgelenmiş denetimler altında betik ve eklenti çalıştırabilir; mobil istemciler daha dar bir küme kabul eder ve anlamadıkları satırları sessizce atabilir. Eski bir istemcinin reddettiği şifre veya TLS ayarı, işletmeyle çözülmesi gereken bir sürüm sorunudur. İçe aktarmayı zorlamak için tanıdık olmayan ayrıcalıkları açmak, bir uyarıyı daha geniş bir saldırı yüzeyiyle değiştirir.

Karşılaştırma için özgün dosyayı saklayın, isteğinizde tam olarak desteklenmeyen yönergeyi yazın ve gerçekten çalıştırdığınız istemci için oluşturulmuş bir profil isteyin.

Her değiştirmeden sonra uygulamanın hangi profil girdisini kullandığını doğrulayın, çünkü yeni bir dosyayı içe aktarmak eskiyi her zaman üzerine yazmaz.