Імпорт файлу .ovpn: що він встановлює, а що ні

Ви імпортували профіль, клієнт повідомляє про підключення, а список сертифікатів системи виглядає точно так само, як раніше. Це очікуваний результат, а не невдалий імпорт. Файл .ovpn — це текстова конфігурація, яка повідомляє сумісному клієнту OpenVPN, як дістатися сервера та як пройти автентифікацію, і він ніколи нічого не записує у сховище довіри пристрою. Із цієї плутанини випливають дві помилки: очікування, що з'явиться вбудований тип VPN, і висновок, що імпорт не вдався, бо не з'явився жоден сертифікат.

Переконання, що імпорт встановлює сертифікат

Профіль може нести матеріал сертифіката всередині себе, і саме звідси береться ця думка: блок тексту між кутовими дужками виглядає як встановлення. Клієнт натомість розбирає його як конфігурацію і передає сертифікат своєму шару TLS, а не операційній системі. До налаштувань довіри пристрою нічого не додається, і додавати не слід. Файл описує з'єднання, тоді як сховище довіри описує, кому пристрій готовий вірити.

Профіль також марний без закритого ключа, на який він посилається, і це ще одна причина, чому він не є сертифікатом. Отримайте файл із перевіреного каналу оператора і поводьтеся з ним як із чутливими даними, бо він може містити матеріал ідентичності, що належить вам. Втратите ключ — і профіль стане описом з'єднання, якого ви не зможете встановити.

Відкрийте файл так, як це документує клієнт

Скористайтеся документованим параметром імпорту файлу в клієнті, а не перейменовуйте розширення і не вставляйте текст у стороннє вікно VPN. Деякі продукти приймають також URL або спакований архів, і це окремі підтримувані способи з власними сценаріями відмови. Якщо сертифікати або ключі надходять окремими файлами, з'ясуйте, як клієнт очікує їх отримати, перш ніж щось переміщати. Копіювання лише тексту .ovpn на другу машину залишає кожен зазначений шлях таким, що вказує на файл, якого там немає, і отримана помилка говоритиме про відсутній файл, а не про відсутній імпорт.

Це пастка переносності в одному рядку: текст подорожує, а посилання ні. Розмістіть зазначені файли в тій структурі, яку документує клієнт, або перетворіть профіль на вбудовану форму, якщо клієнт це підтримує.

Вбудований матеріал і зазначені файли

Вбудований профіль несе CA, сертифікат і ключ усередині файлу, тому він самодостатній і переносний, але також єдиний об'єкт, який треба захищати так само ретельно, як ключ у ньому. Профіль із посиланнями вказує шляхи на диску, і це працює лише там, де ці шляхи існують і де клієнт працює з дозволом їх читати. Перенесення однієї форми без іншої — звичайна невдача переносності, і вона виявляється як помилка TLS, а не як помилка імпорту. Жодна з форм не змінює модель безпеки, бо клієнт і далі перевіряє сервер і далі потребує придатного закритого ключа.

Профіль, який вимикає перевірку заради успішного імпорту, обміняв перевірку на видимість поступу. Поверніть це налаштування, перш ніж підключатися до чогось справжнього.

Відхилена директива — це невідповідність клієнту

Директиву, яку приймає настільний клієнт, може відхилити мобільний клієнт або спрощена настільна збірка, і сценарні перехоплювачі, команди маршрутизації та деякі параметри транспорту належать до цієї категорії. Клієнт не вередує; він відмовляється виконувати інструкції, які не може забезпечити. Помилки імпорту зазвичай називають директиву, і це ім'я значно корисніше за загальне повідомлення про неможливість імпорту. Пошукайте це ім'я в документації самого клієнта, перш ніж узагалі редагувати профіль.

Не видаляйте перевірку сервера і не вмикайте незнайомі сценарії лише для того, щоб імпорт пройшов. Знайдіть клієнт, який підтримує цю директиву, або попросіть в оператора профіль, написаний для клієнта, який ви насправді запускаєте. Видалення рядка, щоб заглушити помилку, змінює те, що гарантує з'єднання, і ця зміна переживе імпорт.

Перевірте той запис, який ви насправді запускаєте

Ніщо не гарантує, що щойно завантажений файл замінив копію, імпортовану минулого місяця, тож перед підключенням підтвердьте назву вибраного профілю та дані його сервера. Після підключення перевірте ресурс, який вам справді потрібен, і подивіться на поведінку маршрутизації та DNS, бо встановлене з'єднання — лише перший етап. Якщо профіль відхилено, збережіть точне повідомлення імпорту та версію клієнта, адже це інша проблема, ніж профіль, який імпортується, а потім не досягає свого сервера. Посібник OpenVPN описує директиви, які може містити профіль, і це те джерело, яке треба перевірити перед редагуванням.

Коли заміна запрацює, виведіть старий запис з ужитку власним засобом видалення клієнта. Видалення файлу із завантажень залишає збережене з'єднання всередині застосунку недоторканим. На завершення запишіть, яка назва профілю активна, щоб наступна людина не підключалася через копію, яку ви мали намір вивести з ужитку.