Tệp .ovpn thực sự chứa gì, và nó không thể làm gì

Hầu hết mọi người cho rằng tệp .ovpn cấu hình một VPN. Không phải vậy: nó cấu hình một máy khách, và mọi thứ nó yêu cầu phải đã tồn tại ở phía bên kia. Thay đổi một dòng trong tệp có thể thay đổi điều máy của bạn cố gắng, nhưng không bao giờ thay đổi điều máy chủ cung cấp. Sự khác biệt đó giải thích phần lớn sự nhầm lẫn về các hồ sơ không nhập được hoặc không kết nối được.

Hãy đọc tệp như một danh sách yêu cầu gửi tới máy khách của bạn, và phần lớn các dòng sẽ trở nên rõ ràng.

Tệp mô tả máy khách của bạn, không phải máy chủ

Một hồ sơ gom remote điểm cuối, một phương thức vận chuyển, một loại giao diện, vật liệu định danh và mọi hành vi phía máy khách mà nhà vận hành muốn. Mỗi dòng được máy khách thực thi khi khởi động. Không dòng nào đến được máy chủ như một thay đổi cấu hình, và không dòng nào có thể tạo ra một trình lắng nghe chưa chạy. Một hồ sơ chỉ định TCP 443 đối với máy chủ chỉ lắng nghe trên UDP 1194 sẽ thất bại ngay ở gói đầu tiên.

Đó cũng là lý do cùng một tệp hành xử khác nhau trên hai máy khách: tệp yêu cầu, và máy khách quyết định có thể đáp ứng bao nhiêu phần của yêu cầu.

Các dòng vận chuyển phải khớp với một trình lắng nghe đã tồn tại

proto và remote phải khớp với những gì máy chủ thực sự liên kết. UDP là lựa chọn thông thường vì một datagram bị mất không làm tắc đường hầm, trong khi TCP có thể sống sót qua mạng hạn chế với cái giá là chặn đầu hàng đợi bên trong đường hầm. Chuyển một hồ sơ từ UDP sang TCP không làm máy chủ chấp nhận TCP; nó chỉ làm máy khách gửi tới một cổng mà không ai đọc.

Cổng 443 phổ biến vì nó đi qua các mạng gần như không cho phép gì khác, và nó vẫn là một phiên OpenVPN chứ không phải yêu cầu HTTPS. Nếu nhà vận hành công bố nhiều remote dòng, máy khách thử chúng theo thứ tự, đó là danh sách chuyển đổi khi lỗi chứ không phải quyết định cân bằng tải. Hãy giữ các kết hợp mà nhà vận hành cung cấp thay vì trộn máy chủ từ mục này với cổng từ mục khác.

Khóa nhúng thay đổi cách bạn xử lý tệp

Chứng chỉ và khóa có thể nằm nội tuyến giữa các thẻ <ca>, <cert> và <key>, hoặc được tham chiếu như các tệp riêng. Vật liệu nội tuyến làm hồ sơ tự chứa và cũng biến nó thành bí mật, vì khóa riêng của máy khách di chuyển bên trong. Chứng chỉ CA là vật liệu tin cậy công khai và chia sẻ an toàn; khóa riêng thì không, ngay cả khi nó trông như một khối văn bản không đọc được.

Cụm mật khẩu bảo vệ khóa là bí mật riêng biệt với mật khẩu tài khoản, và trộn lẫn chúng tạo ra lỗi xác thực trông giống thông tin đăng nhập sai.

Tuyến và DNS có thể hoàn toàn không đến từ tệp

Định tuyến có thể do máy chủ đẩy xuống, do hồ sơ đặt bằng redirect-gateway, hoặc để mặc định của chính máy khách. Vì vậy tệp bạn tải xuống không xác định hoàn toàn lưu lượng đi đâu sau khi đường hầm dựng lên. Khi tên nội bộ phân giải được mà trang công khai thì không, chính sách đường hầm chia tách đang làm đúng thiết kế, không phải thất bại.

DNS theo cùng mẫu: dhcp-option DNS được đẩy xuống có thể được máy khách áp dụng, bỏ qua hoặc bị trình quản lý phân giải cục bộ ghi đè. Hãy kiểm tra trạng thái trình phân giải sau khi kết nối thay vì đọc lại hồ sơ.

Các tùy chọn không được hỗ trợ là câu hỏi về phiên bản máy khách

Cảnh báo khi nhập thường có nghĩa là máy khách không triển khai một chỉ thị, không phải tệp bị hỏng. Máy khách để bàn có thể chạy script và plugin dưới các kiểm soát được tài liệu hóa, trong khi máy khách di động chấp nhận một tập hẹp hơn và có thể âm thầm bỏ những dòng chúng không hiểu. Một thiết lập mật mã hoặc TLS bị máy khách cũ từ chối là vấn đề phiên bản cần giải quyết với nhà vận hành. Bật các đặc quyền xa lạ để ép buộc nhập đánh đổi một cảnh báo lấy bề mặt tấn công rộng hơn.

Giữ tệp gốc để so sánh, ghi chính xác chỉ thị không được hỗ trợ trong yêu cầu của bạn, và yêu cầu một hồ sơ được tạo cho máy khách bạn thực sự chạy.

Sau bất kỳ thay thế nào, hãy xác nhận ứng dụng dùng mục hồ sơ nào, vì nhập tệp mới không phải lúc nào cũng ghi đè tệp cũ.