Nhập tệp .ovpn: nó cài đặt gì và không cài đặt gì

Bạn đã nhập hồ sơ, ứng dụng khách báo đã kết nối, và danh sách chứng chỉ của hệ thống trông y hệt như trước. Đó là kết quả mong đợi, không phải một lần nhập thất bại. Tệp .ovpn là một cấu hình văn bản cho ứng dụng khách OpenVPN tương thích biết cách đến máy chủ và cách xác thực, và nó không bao giờ ghi bất cứ thứ gì vào kho tin cậy của thiết bị. Hai sai lầm nảy sinh từ sự nhầm lẫn này: kỳ vọng một loại VPN gốc sẽ xuất hiện, và kết luận rằng việc nhập đã thất bại vì không có chứng chỉ nào hiện ra.

Niềm tin rằng nhập tệp sẽ cài đặt chứng chỉ

Hồ sơ có thể mang vật liệu chứng chỉ ngay bên trong, và ý tưởng đó bắt nguồn từ đây: một khối văn bản giữa các dấu ngoặc nhọn trông giống một lần cài đặt. Ứng dụng khách lại phân tích nó như cấu hình và trao chứng chỉ cho lớp TLS của chính nó chứ không trao cho hệ điều hành. Không có gì được thêm vào cài đặt tin cậy của thiết bị, và cũng không nên thêm. Tệp mô tả một kết nối, còn kho tin cậy mô tả việc thiết bị sẵn sàng tin ai.

Hồ sơ cũng vô dụng nếu thiếu khóa riêng mà nó tham chiếu, và đây là một lý do nữa khiến nó không phải chứng chỉ. Hãy lấy tệp từ kênh đã xác minh của nhà cung cấp, và coi nó là dữ liệu nhạy cảm, vì nó có thể chứa vật liệu nhận dạng thuộc về bạn. Mất khóa thì hồ sơ trở thành mô tả của một kết nối bạn không thể tạo ra.

Mở tệp theo cách ứng dụng khách ghi trong tài liệu

Hãy dùng tùy chọn nhập tệp đã được ghi trong tài liệu của ứng dụng khách thay vì đổi phần mở rộng hoặc dán văn bản vào một hộp thoại VPN không liên quan. Một số sản phẩm cũng nhận URL hoặc tệp lưu trữ đã đóng gói, và đó là những phương thức được hỗ trợ riêng với cách hỏng riêng của chúng. Nếu chứng chỉ hoặc khóa đến dưới dạng tệp riêng, hãy tìm hiểu cách ứng dụng khách mong nhận chúng trước khi di chuyển bất cứ thứ gì. Chỉ sao chép văn bản .ovpn sang máy thứ hai sẽ để mọi đường dẫn được tham chiếu trỏ tới một tệp không có ở đó, và lỗi bạn nhận được sẽ nói về một tệp thiếu chứ không phải một lần nhập thiếu.

Đó là cái bẫy của tính di động trong một câu: văn bản đi theo còn các tham chiếu thì không. Hãy đặt các tệp được tham chiếu vào bố cục mà ứng dụng khách ghi trong tài liệu, hoặc chuyển hồ sơ sang dạng nhúng nếu ứng dụng khách hỗ trợ.

Vật liệu nhúng so với tệp được tham chiếu

Hồ sơ nhúng mang CA, chứng chỉ và khóa bên trong tệp, nên nó tự chứa và di động được, nhưng cũng là một đối tượng duy nhất phải bảo vệ cẩn thận như chính khóa bên trong. Hồ sơ tham chiếu nêu các đường dẫn trên đĩa, và điều đó chỉ hoạt động ở nơi các đường dẫn ấy tồn tại và nơi ứng dụng khách chạy với quyền đọc chúng. Di chuyển một dạng mà không có dạng kia là kiểu hỏng di động thường gặp, và nó hiện ra như lỗi TLS chứ không phải lỗi nhập. Không dạng nào thay đổi mô hình bảo mật, vì ứng dụng khách vẫn xác thực máy chủ và vẫn cần một khóa riêng dùng được.

Hồ sơ tắt xác minh để việc nhập thành công đã đánh đổi sự kiểm tra lấy vẻ ngoài của tiến bộ. Hãy đặt lại cài đặt đó trước khi kết nối với bất cứ thứ gì thật.

Một chỉ thị bị từ chối là sự không khớp với ứng dụng khách

Một chỉ thị mà ứng dụng khách trên máy tính chấp nhận có thể bị ứng dụng khách di động hoặc bản máy tính rút gọn từ chối, và các móc tập lệnh, lệnh định tuyến cùng một số tùy chọn truyền tải nằm trong nhóm đó. Ứng dụng khách không làm khó; nó từ chối chạy những chỉ dẫn mà nó không thể thực thi. Lỗi nhập thường nêu tên chỉ thị, và cái tên đó hữu ích hơn nhiều so với thông báo chung rằng không thể nhập. Hãy tìm cái tên đó trong tài liệu của chính ứng dụng khách trước khi sửa hồ sơ.

Đừng gỡ bỏ xác minh máy chủ và đừng bật tập lệnh lạ chỉ để việc nhập đi qua. Hãy tìm một ứng dụng khách hỗ trợ chỉ thị đó, hoặc yêu cầu nhà cung cấp cấp hồ sơ viết cho ứng dụng khách mà bạn thực sự chạy. Xóa một dòng để dập lỗi sẽ thay đổi điều mà kết nối bảo đảm, và thay đổi đó còn lại sau khi nhập.

Kiểm tra mục bạn thực sự khởi chạy

Không có gì bảo đảm tệp bạn vừa tải về đã thay thế bản đã nhập tháng trước, nên hãy xác nhận tên hồ sơ đang chọn và thông tin máy chủ của nó trước khi kết nối. Sau khi kết nối, hãy thử tài nguyên bạn thực sự cần và xem hành vi định tuyến cùng DNS, vì kết nối hoàn tất chỉ là giai đoạn đầu. Nếu hồ sơ bị từ chối, hãy giữ nguyên thông báo nhập và phiên bản ứng dụng khách, vì đó là vấn đề khác với hồ sơ nhập được nhưng sau đó không tới được máy chủ của nó. Hướng dẫn OpenVPN ghi lại các chỉ thị mà hồ sơ có thể chứa, và đó là tài liệu tham chiếu cần kiểm tra trước khi sửa.

Khi bản thay thế hoạt động, hãy cho mục cũ nghỉ hưu bằng chính điều khiển xóa của ứng dụng khách. Xóa tệp khỏi thư mục Tải xuống để kết nối đã lưu trong ứng dụng không bị đụng tới. Cuối cùng hãy ghi lại tên hồ sơ nào đang hoạt động, để người tiếp theo không kết nối qua bản sao mà bạn định cho nghỉ hưu.