Tính di động của hồ sơ OpenVPN: khóa di động so với tùy chọn nền tảng

Cùng một tệp .ovpn mở một đường hầm trong ứng dụng khách này và không khởi động trong ứng dụng khác, và chứng chỉ thường là nghi phạm đầu tiên. Thường hơn, tệp chứa một chỉ thị mà chỉ một công cụ thực thi. Hồ sơ là một hợp đồng với một ứng dụng khách cụ thể, không phải tập lệnh di động.

Tách những gì di chuyển cùng nhận dạng khỏi những gì thuộc về một nền tảng. Khi đó sự cố thường tự gọi tên.

Một tệp, hai hợp đồng

Hồ sơ gộp ba loại nội dung: vật liệu nhận dạng như chứng chỉ CA và chứng chỉ khách cùng khóa riêng, dữ kiện truyền tải như điểm cuối từ xa và giao thức, và chỉ thị hành vi như xử lý DNS hoặc tùy chọn thiết bị. Hai loại đầu có thể di chuyển rộng rãi giữa các công cụ hỗ trợ cùng giao thức. Loại thứ ba là nơi các cách triển khai khác nhau. Coi toàn bộ tệp như một đơn vị di động duy nhất chính là điều tạo ra những sự cố khó hiểu.

Một tệp chạy trong GUI trên nền tảng này không tự động hợp lệ cho ứng dụng khách dòng lệnh trên nền tảng khác. Ngay cả khi cả hai là OpenVPN, bộ phân tích và bộ tùy chọn vẫn khác nhau. Vì thế một lần nhập thành công không phải bằng chứng của hồ sơ di động.

Vật liệu di động so với chỉ thị nền tảng

Các phần nhận dạng và truyền tải là phần cần giữ lại. ca, cert, key và remote mô tả ai kết nối và đi đâu, và chúng mang cùng ý nghĩa với mọi ứng dụng khách tuân thủ.

Các chỉ thị hành vi là phần cần so sánh. block-outside-dns, chẳng hạn, tồn tại để thay đổi hành vi DNS trên Windows. Một ứng dụng khách Unix có thể không nhận ra nó chút nào.

Hãy đọc danh sách tùy chọn của ứng dụng khách nhận, không phải của ứng dụng gửi. Hướng dẫn tham chiếu OpenVPN 2.6 ghi lại các tùy chọn của công cụ, và hộp thoại nhập của GUI không phải danh sách đó.

Đọc lỗi bộ phân tích trước chứng chỉ

Lỗi nêu tên một tùy chọn không được nhận diện là lỗi bộ phân tích, không phải lỗi xác thực. Kết nối chưa bao giờ tới TLS, nên đổi chứng chỉ không thể giúp. Hãy đọc lỗi đầu tiên từ ứng dụng khách và phiên bản thực tế, rồi chỉ xóa hoặc thay chỉ thị mà ứng dụng khách đó không thể thực thi. Xóa các phần chứng chỉ hoặc tuyến để tệp tải được chính là cách một hồ sơ đang chạy trở nên không an toàn.

Nếu lỗi nhắc đến bắt tay, chứng chỉ hoặc mật mã, hồ sơ đã được phân tích và vấn đề nằm ở nơi khác.

Giữ tệp gốc bên cạnh tệp đã điều chỉnh. Khi tệp đã điều chỉnh hỏng về sau, tệp gốc là đối chứng cho biết thay đổi hay môi trường đã dịch chuyển.

Quyền là ranh giới thứ hai

Quyền là ranh giới còn lại: tạo thiết bị đường hầm, cài tuyến và đọc khóa riêng đều phụ thuộc quyền cục bộ. Một tệp khóa chỉ root đọc được là triển khai bình thường, không phải lỗi hồ sơ. Cách sửa thuộc về quyền sở hữu hoặc năng lực, không thuộc về tệp.

Chạy ứng dụng khách với sudo có thể giải quyết một lần từ chối quyền cục bộ, và nó không thể thêm một chỉ thị mà tệp nhị phân không thực thi. Nó cũng thay đổi chùm khóa, đường dẫn cấu hình và ngữ cảnh trình quản lý mạng của người dùng nào được áp dụng, nên kết quả không phải cùng một phép thử.

Điều chỉnh có chủ đích

Khi nhà cung cấp công bố các hồ sơ riêng, hãy lấy hồ sơ dành cho ứng dụng khách nhận. Điều chỉnh tệp của nền tảng khác là biện pháp cuối. Nó cần bản ghi từng tùy chọn đã thay đổi và một bản sao của tệp gốc.

Hãy kiểm tra nhận dạng, định tuyến và DNS như ba kết quả riêng biệt. Một hồ sơ xác thực và định tuyến nhưng phá vỡ phân giải tên là hồ sơ được điều chỉnh một phần, không phải hồ sơ chạy được.