.ovpn faylınız yalnız trafiki yönləndirmir, kod da işlədir

Əksər insanlar .ovpn faylını router-in parametrlər səhifəsini oxuduğu kimi oxuyur: ünvanlar, marşrutlar, şifr siyahısı. Kodu işlədən hissə aşağıya yaxın, santexnika işinə bənzəyən direktivlərin yanında yerləşir və müştərinin artıq malik olduğu imtiyazla işləyir. Bu, səhlənkar və ya zərərli profilın istifadə etdiyi boşluqdur və həm də faydalı DNS köməkçisini üç həftə sonra dəstək probleminə çevirən boşluqdur. Hadisə direktivi, təhlükəsizlik səviyyəsi və faylın sahibliyi nəyin ola biləcəyini müəyyən edir; skriptin məzmunu isə nəyin həqiqətən olduğunu müəyyən edir. Qoşulmadan əvvəl dördünü də oxuyun.

Köməkçi işlədən profil parametr faylı deyil, proqramdır

route və dhcp-option kimi direktivlər müştərinin qurmalı olduğu vəziyyəti təsvir edir və müştəri onlara məlumat kimi yanaşır. up skripti fərqlidir: müştəri onu proses kimi başladır və ona qoşulma detalları ilə dolu mühit verir, buna görə müəllifin yazdığı hər şey sizin hesabınızın hüquqları ilə işləyir. İstifadəçinin administrator olduğu noutbukda bu, əlavə kimi və ya forum mövzusundan yapışdırılmış bir fayl üçün geniş qapıdır. Fərq üslubi deyil, konfiqurasiya ilə kod arasındakı fərqdir.

Tərk edilməli mif budur ki, profil yalnız trafiki yönləndirə bilər. ip route add işlədən köməkçi ilə uzaq hosta qarşı curl işlədən köməkçi eyni mexanizmdir və profil xaricdən eyni görünür. Faylın görünüşündə hansına sahib olduğunuzu deyən heç nə yoxdur, buna görə yoxlama skriptin özünə çatmalıdır.

İcranı həqiqətən nə müəyyən edir və icazə verən sətirlər necə görünür

Köməkçini üç şey idarə edir: onu adlandıran hadisə direktivi, ona icazə verən script-security səviyyəsi və müştəri platformasının öz tətbiqi. Profil qarmaq tələb edib yenə də heç nə görməyə bilər, çünki mobil müştəri və ya kəsilmiş masaüstü buraxılışı o hadisəni ümumiyyətlə tətbiq etməyə bilər. Eyni şəkildə, funksiyasına lazım olandan daha çox icazə istəyən profil öz mənşəyi haqqında sizə nəsə deyir. İcazə səviyyəsi imkandır, təsdiq deyil. İcazə verən sətirlər belə görünür, yol sizin yolunuzun yerinə durur.

script-security 2
up /etc/openvpn/update-resolv-conf.sh
down /etc/openvpn/update-resolv-conf.sh

Səviyyə 0 xarici proqramları rədd edir, standart olan səviyyə 1 isə yalnız müştərinin daxili icra olunan fayllarına icazə verir, buna görə qarmaq üçün 2 və ya daha yüksək lazımdır; səviyyə 3 əsasən köhnə parol ötürülməsi üçün mövcuddur və ondan qaçmaq yaxşıdır. Qarmaqla göndərilən profil həm direktivi, həm də o səviyyəni tələb edir, buna görə faylın aşağısındakı bir sətir sertifikat bloku ilə eyni diqqəti haqq edir. OpenVPN təlimatı icazə səviyyələrini sadalayır və onun ifadəsi profilın həqiqətən tələb etdiyi şeyin yanında oxumağa dəyər.

Sahiblik, yol və köməkçiyə nə verilir

Başqa hesabın yenidən yaza bildiyi skriptə işarə edən etibar etdiyiniz profil etibarlı düzən deyil, çünki dünən etdiyiniz yoxlama artıq bugün işləyəni təsvir etmir. Köməkçinin sahibini və rejimini yoxlayın, konfiqurasiya edilmiş yolun başqa bir şeyin kölgədə sala biləcəyi ada deyil, yoxladığınız fayla çıxdığını təsdiqləyin. Arqumentlər və mühit də eyni baxışı haqq edir: müştəri qoşulma detallarını qarmağa ötürür və bütün mühitini jurnala yazan köməkçi dəstək bileti içinə etimad məlumatları yaza bilər. Operator və ya platformadan sənədləşdirilmiş inteqrasiyanı əlaqəsiz yazıdan köçürülmüş DNS skriptinə üstün tutun, çünki eyni fayl üstündə dalaşan iki resolver meneceri qırıq VPN kimi görünən nasazlıq yaradır.

Uğursuz qarmaq barədə məlumat verərkən mühiti hər hansı yerə yapışdırmadan əvvəl redaktə edin. Sazlamağa kömək edən dump sizi təsdiqləyən tokeni də daşıya bilər.

Təmizləmə nasazlıqları tunel getdikdən sonra görünür

up köməkçisi marşrutlar və resolver parametrləri əlavə edir, down köməkçisi isə onları yenidən götürməlidir. down qarmağı yoxdursa, səssizcə uğursuz olursa və ya müştəri öldürüldüyü üçün heç işləmirsə, qalıqlar sessiyadan uzun yaşayır. Sonra trafik heç kimin planlaşdırmadığı yolla gedir və adlar silinməli olan resolver vasitəsilə həll olunur, tunelin özü isə sağlam görünür. Bu simptomlar əlaqə kəsildikdən sonra gəlir, buna görə günah profilın deyil, şəbəkənin üzərinə qoyulur.

Sökülməni ayrı addım kimi sınayın: tuneli qaldırın, marşrutları və resolveri qeyd edin, onu salın, sonra hər ikisinin getdiyini təsdiqləyin. Təmiz qoşulan profil yenə də arxada vəziyyət qoya bilər və köməkçinin sıfır çıxış kodu resolverin düşündüyünüz yerdə bitdiyini sübut etmir.

Köməkçini nəzərdən keçirmək və çıxış yolu saxlamaq

Skripti başdan-başa oxuyun və üç şey axtarın: imtiyaz tələb edən əmrlər, sisteminizdə olmaya bilən sabit kodlanmış yollar və etdiyi hər hansı şəbəkə çağırışı. Sonra necə uğursuz olduğuna baxın, çünki səhvləri udan köməkçi konfiqurasiya səhvini sirrə çevirir. Skriptin nə etdiyini və kimin onu dəyişə biləcəyini bir cümlə ilə deyə bilmirsinizsə, onu aktivləşdirməyə hazır deyilsiniz. O cümlənin tələb etdiyindən çox imtiyaz istəyən profil dayanma siqnalıdır.

Son işləyən profili və onun istinad etdiyi köməkçini qorunan yaddaşda saxlayın, hər iki versiyanı qeyd edin, belə ki geri qaytarma ən pis anda yenidən qurma deyil, kopya olsun. Köməkçi yalnız artıq ona ehtiyacı olmayan distributiv və ya müştəri versiyası üçün varsa, səhvlər dayanana qədər imtiyazları qaldırmaq əvəzinə onu parametri saxlayan konfiqurasiyada təqaüdə çıxarın. Çıxış budur: daha az hərəkətli hissə, daha çox icazə deyil.