.ovpn faylida aslida nima bor va u nima qila olmaydi

Ko’pchilik .ovpn fayli VPNni sozlaydi deb o’ylaydi. Unday emas: u bitta mijozni sozlaydi va u so’ragan hamma narsa narigi tomonda allaqachon mavjud bo’lishi kerak. Fayldagi bitta qatorni o’zgartirish mashinangiz nima qilishga urinishini o’zgartirishi mumkin, lekin server nima taklif qilishini hech qachon o’zgartirmaydi. Aynan shu farq import yoki ulanishda muvaffaqiyatsiz bo’lgan profillar haqidagi chalkashlikning katta qismini tushuntiradi.

Faylni mijozingizga qaratilgan so’rovlar ro’yxati sifatida o’qing, shunda uning ko’p qatorlari ravshan bo’ladi.

Fayl mijozingizni tavsiflaydi, serverni emas

Profil remote yakuniy nuqtasini, transportni, interfeys turini, identifikatsiya materialini va operator xohlagan har qanday mijoz tomonidagi xatti-harakatni birlashtiradi. Har bir qator ishga tushishda mijoz tomonidan bajariladi. Ularning hech biri konfiguratsiya o’zgarishi sifatida serverga yetib bormaydi va hech biri allaqachon ishlamayotgan tinglovchini yarata olmaydi. Faqat UDP 1194 da tinglaydigan serverga qarshi TCP 443 ni ko’rsatadigan profil birinchi paketda muvaffaqiyatsiz bo’ladi.

Shuning uchun bir xil fayl ikki mijozda turlicha ishlaydi: fayl so’raydi, mijoz esa so’rovning qancha qismini bajarish mumkinligini hal qiladi.

Transport qatorlari allaqachon mavjud tinglovchiga mos kelishi kerak

proto va remote qatorlari server amalda bog’laydigan narsaga mos kelishi kerak. UDP odatiy tanlovdir, chunki yo’qolgan datagram tunnelni to’xtatmaydi, TCP esa cheklangan tarmoqlarda tunnel ichidagi navbat boshining bloklanishi evaziga bardosh bera oladi. Profilni UDP dan TCP ga o’tkazish serverni TCPni qabul qilishga majburlamaydi; faqat mijozni hech kim o’qimaydigan portga yuborishga majbur qiladi.

443 port mashhur, chunki u deyarli boshqa hech narsaga ruxsat bermaydigan tarmoqlardan o’tadi va u OpenVPN sessiyasi bo’lib qoladi, HTTPS so’rovi emas. Agar operator bir nechta remote qatorini e’lon qilsa, mijoz ularni tartib bilan sinab ko’radi, bu yuklamani muvozanatlash qarori emas, balki nosozlikda almashtirish ro’yxati. Operator bergan kombinatsiyalarni saqlang, bir yozuvdagi xostni boshqasidagi port bilan aralashtirmang.

Ichiga joylangan kalitlar fayl bilan ishlash usulini o’zgartiradi

Sertifikatlar va kalitlar <ca>, <cert> va <key> teglari orasida ichki joylashgan bo’lishi yoki alohida fayl sifatida ko’rsatilishi mumkin. Ichki joylangan material profilni o’z-o’zini ta’minlaydigan qiladi va uni sirga ham aylantiradi, chunki mijozning maxfiy kaliti uning ichida yuradi. CA sertifikati ommaviy ishonch materiali bo’lib, uni baham ko’rish xavfsiz; maxfiy kalit esa yo’q, u o’qib bo’lmaydigan matn blokiga o’xshab ko’rinsa ham.

Kalitni himoya qiluvchi parol iborasi hisob parolidan alohida sir bo’lib, ularni aralashtirish noto’g’ri hisob ma’lumotlariga o’xshaydigan autentifikatsiya xatosini keltirib chiqaradi.

Marshrutlar va DNS fayldan umuman kelmasligi mumkin

Marshrutlashni server itarib yuborishi, profil redirect-gateway bilan o’rnatishi yoki mijozning o’z standart qiymatlarida qolishi mumkin. Shuning uchun yuklab olingan fayl tunnel ko’tarilgandan keyin trafik qayerga ketishini to’liq belgilamaydi. Ichki nomlar hal bo’lib, ommaviy saytlar hal bo’lmasa, bo’lingan tunnel siyosati o’zi uchun yaratilgan ishni qilmoqda, muvaffaqiyatsizlikka uchramaydi.

DNS ham xuddi shu naqshga amal qiladi: itarib yuborilgan dhcp-option DNS ni mijoz qo’llashi, e’tiborsiz qoldirishi yoki mahalliy hal qiluvchi menejeri bekor qilishi mumkin. Profilni qayta o’qish o’rniga ulangandan keyin hal qiluvchi holatini tekshiring.

Qo’llab-quvvatlanmaydigan variantlar mijoz versiyasi masalasi

Import ogohlantirishlari odatda mijoz direktivani amalga oshirmasligini bildiradi, fayl buzilganini emas. Ish stoli mijozlari hujjatlashtirilgan nazorat ostida skript va plaginlarni ishga tushirishi mumkin, mobil mijozlar esa torroq to’plamni qabul qiladi va tushunmaydigan qatorlarini jimgina tashlab yuborishi mumkin. Eski mijoz rad etadigan shifr yoki TLS sozlamasi operator bilan hal qilinadigan versiya muammosi. Importni majburlash uchun notanish imtiyozlarni yoqish ogohlantirishni kengroq hujum yuzasi bilan almashtiradi.

Taqqoslash uchun asl faylni saqlang, so’rovingizda aniq qo’llab-quvvatlanmaydigan direktivani yozing va siz haqiqatda ishlatayotgan mijoz uchun tuzilgan profilni so’rang.

Har qanday almashtirishdan keyin ilova qaysi profil yozuvidan foydalanayotganini tasdiqlang, chunki yangi faylni import qilish eskisini har doim ham qayta yozmaydi.