Адрэдагаваць журнал VPN, не згубіўшы важныя падказкі

Вы ўстаўляеце журнал у галіну падтрымкі, адказ паказвае, што ў ім ёсць ваш прыватны ключ, і ўстаўка застаецца назаўсёды. Цішэйшы збой праяўляецца пазней, калі кожны адрас стаў X, і файл больш не даказвае, што кліент і сервер былі рознымі хостамі. Праход рэдагавання прыбірае тое, што дае доступ або называе чалавека, і захоўвае тое, што тлумачыць збой. Гэта пераўтварэнне па правілах, а не выдаленне з дапамогай поля пошуку.

Рэдагаванне — гэта пераўтварэнне, а не выдаленне

Журнал нясе не толькі значэнні, але і структуру: гэты адрас гаварыў з тым, у гэты час, і рукапоціск спыніўся на гэтым кроку. Менавіта значэнні робяць файл небяспечным для публікацыі. Менавіта структура робіць яго наогул вартым публікацыі.

Выдаленне цэлых радкоў прыбірае абодва адразу, таму абрэзаны журнал часта нічога не адказвае. Звядзенне кожнага значэння ў адзін токен адмаўляе інакш, бо два розныя вузлы становяцца адной дзеючай асобай. Абодва праходы могуць выглядаць акуратна і пры гэтым знішчыць доказ. Праверка ў тым, ці можа чытач, які ніколі не бачыў вашу сетку, прасачыць паслядоўнасць і прыйсці да таго ж высновы, што і вы.

Спачатку фрагмент, потым чыстка

Выражаце ўчастак вакол збою, перш чым нешта правіць. Меншы фрагмент лягчэй праверыць, і ён радзей нясе тое, пра што вы забыліся, што яно было ў файле. Захоўвайце некрануты арыгінал у абароненым месцы, пакуль пытанне не закрыта. Рэдагаванне незваротнае, і толькі сыры файл дае магчымасць адказаць на наступнае пытанне.

Прачытайце фрагмент як звычайны тэкст, перш чым давяраць камандзе экспарту ў тым, што яна прыбрала прыватныя часткі: экспартэры зводзяць і ротуюць палі, а не ачышчаюць іх. Рэжымы debug і verbose — самае верагоднае месца для блока ключа або ўбудаваных уліковых даных. Адкрыйце файл у рэдактары, які паказвае поўныя радкі, а не ў праглядчыку, які пераносіць і хавае хвост.

Што павінна сысці і ў якім парадку

Пачніце з матэрыялу, які дае доступ, бо пропуск тут завяршае практыкаванне: блокі прыватных ключоў, паролі, папярэдне супольныя ключы, токены API, коды аднаўлення. Яны не проста ідэнтыфікуюць; іх можа выкарыстаць кожны, хто чытае галіну. Праход, які прыбірае ўсё іншае і пакідае адзін з іх, правалены.

Далей пласт асобы: імёны карыстальнікаў, суб'екты і серыйныя нумары сертыфікатаў, ідэнтыфікатары ўліковых запісаў і любы шлях, які змяшчае імя чалавека. Нішто з гэтага не падыходзіць само па сабе, але разам гэта называе чалавека, а публічнай галіне гэта не патрэбна.

Далей пласт тапалогіі, і тут уступае меркаванне. Публічныя адрасы, унутраныя дыяпазоны і імёны хостаў можна замяняць, калі іх раскрыццё не служыць ніякай дыягнастычнай мэце, а стабільныя меткі лепш за пустыя месцы. Парадак важны, бо раннія пласты абсалютныя, а апошні — рашэнне. Праца ў гэтым парадку яшчэ і не дасць вам змарнаваць гадзіну на імёны хостаў, пакуль блок ключа стаіць у саракавым радку.

Не руйнуйце сувязі

Дайце кожнаму рэальнаму значэнню адзін запаўняльнік і выкарыстоўвайце яго зноў кожны раз, калі гэтае значэнне з'яўляецца. Калі два адрасы былі рознымі, яны павінны застацца рознымі пасля праходу, інакш чытач вырашыць, што кліент падключыўся сам да сябе. Узгодненасць — гэта ўвесь механізм: чытач вывучае адпаведнасць, бачачы, як метка паўтараецца. Адзін паўторна выкарыстаны токен для дзвюх дзеючых асоб — самы хуткі спосаб зрабіць журнал нечытальным.

Парадак і час — частка той самай структуры. Захоўвайце паслядоўнасць некранутай, і калі вы зрушваеце пазнакі часу, зрушвайце ўсе на аднолькавую велічыню і скажыце гэта адным радком. Змешваць зменены і сапраўдны час горш, чым выдаліць яго: тады прамежкі выглядаюць доказам таго, чаго не было.

Порты, пратакол і кірунак застаюцца як ёсць. Запаўняльнік на адрасе не патрабуе запаўняльніка на порце.

Захавайце пытанне, на якое павінен адказаць журнал

Запішыце палі, патрэбныя памочніку, перш чым пачаць рэдагаванне: дакладны, несякрэтны тэкст памылкі, версіі кліента і сервера, транспарт і тое, які бок пачаў спробу. Менавіта яны даюць старонняму магчымасць пазнаць збой. Спіс побач ператварае праход у праверку, а не ў надзею.

Калі дасылаеце файл, дадайце радок пра тое, што было заменена, каб ніхто не змарнаваў гадзіну на дыягностыку хоста-запаўняльніка. Дакументацыя OpenVPN пра журналы дыягностыкі пералічвае палі, якія нясуць яе журналы, і гэта той спіс, які вы збіраецеся змяніць. Запытайцеся перад адпраўкай дампу памяці ці перахопу пакетаў і выкарыстоўвайце канал падтрымкі, які можаце праверыць. Гэтыя артэфакты ўтрымліваюць значна больш, чым тэкставы журнал, і частку гэтага не вам публікаваць.

Прачытайце гатовы фрагмент адзін раз ад першага да апошняга радка, уключна з пачаткам і канцом. Скрыншоты заслугоўваюць большага недаверу, чым тэкст, бо нясуць іншыя вокны, імёны ўліковых запісаў і пункты меню.