İki OpenVPN profilini açarları sızdırmadan müqayisə edin

İki profil, biri qoşulur, biri yox, və səbəbini görməyin sürətli yolu difdir. Problem budur ki, həmin dif daxili şəxsi açarı, statik açarı və faylın daşıdığı hər hansı etimad blokunu çap edir, insanlar isə nəticəni fərqinə varmadan söhbətə yapışdırır. Nəyi müqayisə etdiyinizi qərar vermək əmri işə salmaqdan əvvəl gəlir. Qorunan nüsxələrdə struktur və rolları müqayisə edin, başqası görməli olanda isə ayrıca redaktə edilmiş fayl yaradın.

.ovpn faylı əslində nə daşıyır

Bir .ovpn faylı istəyə bağlı daxili blokları olan konfiqurasiyadır. O, CA sertifikatı, müştəri sertifikatı, şəxsi açar, tls-auth və ya tls-crypt açarı, həmçinin xarici fayllara işarə edən və ya etimad məlumatı tələb edən direktivlər saxlaya bilər. İki fayl demək olar eyni görünüb yalnız bir blokun içində fərqlənə, ya da nəqli tamamilə dəyişən bir direktivdə fərqlənə bilər. Sətir sayı bunlardan hansının baş verdiyini sizə demir.

Açar blokunun içindəki fərq heç nəyin açıq sübutu deyil. Yenidən verilmiş sertifikatla açarı yenilənmiş sertifikat eyni formalı dəyişiklik yarada bilər, yəni blok uyğunsuzluğu materialın fərqli olduğunu söyləyir, hansı qərarın onu yaratdığını yox. Bunu sahələri müqayisə etmək üçün siqnal kimi qəbul edin, tapıntı kimi yox.

Sətir üzrə deyil, rol üzrə müqayisə edin

Bağlantının öz sırasını izləyin: əvvəlcə son nöqtə və nəqliyyat, sonra etimad və gözlənilən kimlik, sonra istifadəçi autentifikasiyası, sonra marşrutlar, DNS və skript qarmaqları. Bu ardıcıllıq müştərinin etdiyinə uyğundur, yəni rastlaşdığınız ilk fərq bağlantını poza biləcək ilk şeydir. Əlifba sırası ilə müqayisə isə əlaqəli parametrləri nəticənin hər yerinə səpələyir.

Sahələri nəzərə alan keçid bu elementlərə həmin sıra ilə baxır. Müştərinin interaktiv soruşduğu hər şey etimad sətirlərinə deyil, autentifikasiya sətrinə aiddir.

• remote, proto və port, hər bağlantı bloku daxil olmaqla.
• ca və cert: verən, mövzu və son istifadə tarixi.
• Şəxsi açarın ümumiyyətlə olub-olmaması, heç vaxt nə saxladığı deyil.
• tls-auth və ya tls-crypt mövcudluğu və açar istiqaməti.
• Autentifikasiya direktivləri, etimad faylına hər hansı istinad daxil olmaqla.
• Bağlantı zamanı işə düşən marşrutlar, DNS seçimləri və skript qarmaqları.

Fayl bir neçə bağlantı bloku saxlayanda hər seçimi öz son nöqtəsi ilə saxlayın. Yalnız ilk remote sətrini müqayisə etmək müştərinin bu şəbəkədə həqiqətən seçdiyi alternativi qaçıra bilər.

Adi dif niyə yanlış vasitədir

Adi dif mətn üçün qurulub, sirlər üçün yox. Şəxsi açarı məmnuniyyətlə ekran tarixçəsinə çap edəcək və baxdığınız direktivin nasazlıqla əlaqəsiz olduğunu sizə deməyəcək. Sahə çıxarışları həm daha təhlükəsiz, həm daha oxunaqlıdır, çünki sertifikat materialı bayt kimi deyil, metadatum kimi müqayisə edilə bilər.

openssl x509 -in ca.crt -noout -subject -issuer -enddate
openssl x509 -in client.crt -noout -subject -issuer -enddate
grep -E '^(remote|proto|port|tls-auth|tls-crypt|route|dhcp-option)' profile.ovpn

İlk iki əmr açarın özünə toxunmadan kimliyi və etibarlılığı çap edir, ona görə nəticələri yapışdırmaq təhlükəsizdir. grep direktiv adlarını və dəyərlərini çap edir, lakin heç vaxt blok gövdələrini yox, bu da onu nəqliyyat və ya marşrut fərqindən şübhələnəndə düzgün ilk keçid edir. Əgər blokun özünü müqayisə etmək lazımdırsa, məzmun yerinə onun heşini müqayisə edin.

Bilet üçün redaktə edilmiş nüsxə yaradın

Fərqi izah etmək üçün sahə adlarını və kifayət qədər strukturu saxlayaraq əsl sirləri və lazımsız identifikatorları çıxarın. Eyni formalı marker yenə də materialın harada olduğunu və nə qədər uzun olduğunu göstərir, ona görə bunun da məqbul olub-olmadığına qərar verin. Yadda saxladığınız əmrə güvənmək yerinə son əlavənin özünü yoxlayın. Yalnız nümunə yaratmaq üçün işləyən orijinalı redaktə etməyin, çünki redaktə edilmiş profil mütləq icra oluna bilən deyil və heç vaxt yenidən idxal edilməməlidir.

Orijinalları oxşar adlı üç qovluğa kopyalamaq yerinə fayl adı və heşlə tanınan saxlayın. Heş sətri hansı faylın nəzərdən keçirildiyini sübut etməyə kifayətdir və sızsa heç bir şeyə başa gəlmir. Dəyişiklik bağlandıqdan sonra nüsxələri budayın ki, növbəti şəxs bir nüfuzlu fayl miras alsın.

Müqayisəni nasazlığa bağlı saxlayın

Müqayisə öz xərcini bir idxal və ya bir bağlantı nasazlığı haqqında suala cavab verəndə doğruldur. Əvvəlcə uğursuz addımı adlandırın, sonra yalnız həmin addımın asılı olduğu sahələri müqayisə edin; müştərinin sahib olduğu hər etimad məlumatını bir qovluğa yığmaq növbəti sızmanı daha ehtimallı, növbəti diaqnozu daha yavaş edir. Sual nə qədər dar olsa, ona cavab verə bilən sahələrin siyahısı bir o qədər qısa olur.

Yeni fayl operator tərəfindən gəlibsə, etimad materialını dəyişməzdən əvvəl onun paylanma yolunu təsdiqləyin. Dəyişiklikdən sonra müştərinin həqiqətən seçdiyi idxal edilmiş nüsxəni və razılaşdırılmış nəticəni yoxlayın, çünki bir direktiv başqa müştəri versiyası tərəfindən nəzərə alınmaya və ya fərqli oxuna bilər. Diskdəki fayl işləyən bağlantının sübutu deyil. Direktiv semantikası OpenVPN 2.6 təlimatındadır.