ما الذي يمكن أن يغيّره ملف تعريف VPN مُسلَّم على جهازك

تسليم عميلك ملف تعريف VPN يعني تسليمه إعدادات كتبها شخص آخر، ثم ينفّذها ذلك البرنامج على جهازك. وقد يغيّر استيراده أين تذهب الحركة المشمولة، وأي طرف يثق به جهازك، وفي بعض الصيغ أي البرامج المحلية تعمل عند صعود النفق. الملف ليس إشارة مرجعية؛ إنه برنامج صغير بصيغة تصريحية.

اقرأه كما تقرأ نصًا برمجيًا لصدفة من المصدر نفسه.

العميل هو من يفسّره، لا أنت

كل حقل في الملف تعليمة لعميل معيّن. تحدد نقطة الطرف والبروتوكول إلى أين يذهب النفق، ويحدد كتلة المصادقة أي سرّ يُطلب، وتحدد توجيهات المسار ما يدخل فيه. وقد تُضمَّن الشهادات أو مفتاح خاص ككتل بدل الإشارة إليها كملفات، ولهذا يحمل ملف نصي واحد أحيانًا كل ما يلزم لانتحال شخصيتك أمام بوابة. هذه الخصيصة هي ما يجعل مشاركة الملفات العابرة خطيرة إلى هذا الحد.

يمكن أن تحمل ملفات تعريف OpenVPN أيضًا خطافات نصية ومسارات إضافات ومستوى أمان يحكم ما إذا كان يُسمح لهذه الخطافات بالعمل. وهذا التوليف هو ما يجعل ملف تعريف غير مألوف يستحق القراءة سطرًا سطرًا بدل النقر المزدوج عليه. سيفعل العميل بالضبط ما يقوله الملف، وسيفعله بصلاحياتك.

تغييرات التوجيه تظهر بعد اتصال واحد

ملف تعريف النفق الكامل يثبّت مسارات ترسل كل شيء عبر البوابة، أما ملف تعريف النفق المنقسم فيرسل بادئات مختارة فقط. وبعض الملفات تدفع أيضًا خادم DNS، وهو ما يغيّر بهدوء من يرى استعلاماتك. لا شيء من ذلك عدائي بحد ذاته، ولا شيء منه واضح من اسم الملف.

قارن جدول التوجيه قبل الاتصال الأول وبعده وسترى النية بنظرة واحدة. الملف الذي يُعلن كوصول إلى تطبيق داخلي واحد لكنه يثبّت مسارًا افتراضيًا أوسع يقول لك شيئًا عن كاتبه.

مواد الثقة والخطافات هي ما يحمل الثقل الحقيقي

يمكن أن يوفّر ملف التعريف معلومات ثقة لعميل VPN، و يمكن لحزمة إعدادات منصة أن تذهب أبعد وتثبّت شهادة أو جذرًا في مخزن النظام. وهذان نطاقان مختلفان بعواقب مختلفة. حالة النطاق الخاص بالعميل تمسّ تحقّق تطبيق واحد؛ وحالة النطاق النظامي تمسّ كل ما يستخدم مخزن ثقة المنصة.

خطافات النصوص والإضافات هي النصف الآخر. التعليمة التي تشغّل أمرًا عند الاتصال، أو إضافة تُحمَّل في عملية العميل، تملك صلاحياتك ولا تملك شيئًا من عزل العميل. وإذا كان ملف تعريف لم تطلبه يحتوي على واحدة منها، فذلك سؤال لمن أرسله.

لا فئة من الفئتين عدائية تلقائيًا. عمليات النشر المؤسسية تستخدم كلتيهما. والنقطة أن كل واحدة تحتاج إلى تفسير يمكنك التحقق منه.

تحقّق من المصدر، ثم أدخل السرّ

أثبت من أصدر الملف عبر قناة تثق بها أصلًا، لا عبر الرسالة التي أوصلته. قارن تفاصيل نقطة الطرف والشهادة بالوثائق المنشورة للمشغّل. وإذا وصل ملف تعريف دون طلب، فاحصل على واحد جديد من المشغّل مباشرة بدل إصلاح النسخة التي سُلّمت لك. اسأل أي إصدار من العميل يدعمه المشغّل، لأن الملف نفسه قد يُفسَّر بطريقة مختلفة لدى عميل آخر.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

لا تضع كلمة مرور في حقل غير مفسَّر لترى إن كانت تعمل، ولا تقبل أبدًا مطالبة صلاحيات غير مألوفة فقط لإتمام استيراد. الاتصال الناجح يثبت أن نقطة الطرف أجابت، لا أكثر.

أزل النسخة المستوردة، لا التنزيل

تنسخ العملاء ملف التعريف إلى مخزنها الخاص، لذا فإن حذف الملف المنزَّل يترك الاتصال المستورد نشطًا. أزله عبر واجهة العميل نفسها، وتحقق من أن أي شهادة أُضيفت أثناء الاستيراد قد اختفت أيضًا. ثم تأكد من أن المسارات التي ثبّتها قد اختفت كذلك.

إذا ثُبّتت شهادة على نطاق النظام، فإن إزالة ملف التعريف لا تكفي. ذلك التنظيف يخصّ إدارة الثقة في المنصة، ويستحق أن يُفعل عمدًا بدل الأمل بأن يعالجه إعادة التشغيل التالية.