Што можа змяніць перададзены профіль VPN на вашай прыладзе

Калі вы перадаяце свайму кліенту профіль VPN, вы перадаяце яму канфігурацыю, напісаную кімсьці іншым, і гэтая праграма потым выконвае яе на вашай машыне. Імпарт можа змяніць, куды ідзе ахоплены трафік, якому вузлу давярае вашая прылада, а ў некаторых фарматах — якія лакальныя праграмы запускаюцца, калі тунель уздымаецца. Файл — гэта не закладка; гэта невялікая праграма ў дэкларатыўным фармаце.

Чытайце яго так, як чыталі б камандны скрыпт з той жа крыніцы.

Яго тлумачыць кліент, а не вы

Кожнае поле ў файле — гэта інструкцыя канкрэтнаму кліенту. Канчатковы пункт і пратакол вызначаюць, куды ідзе тунель, блок аўтэнтыфікацыі вызначае, які сакрэт патрабуецца, а дырэктывы маршрутаў — што ў яго трапляе. Сертыфікаты або прыватны ключ могуць быць убудаваныя як блокі, а не згаданыя як файлы, і таму адзін тэкставы файл часам нясе усё неабходнае, каб выдаць сябе за вас перад шлюзам. Менавіта гэтая ўласцівасць робіць звычайны абмен файламі такім небяспечным.

Профілі OpenVPN могуць таксама несці скрыптовыя перахопнікі, шляхі плагінаў і ўзровень бяспекі, які вырашае, ці могуць гэтыя перахопнікі запускацца. Менавіта гэтая камбінацыя робіць незнаёмы профіль вартым чытання радок за радком замест падвойнага пстрыку. Кліент зробіць менавіта тое, што сказана ў файле, і зробіць гэта з вашымі прывілеямі.

Змены маршрутызацыі відаць пасля аднаго падключэння

Профіль поўнага тунеля ўсталёўвае маршруты, якія адпраўляюць усё праз шлюз, а профіль раздзеленага тунеля адпраўляе толькі вылучаныя прэфіксы. Некаторыя профілі таксама праштурхваюць DNS-сервер, што ціха змяняе, хто бачыць вашыя запыты. Нішто з гэтага само па сабе не зламыснае, і нішто з гэтага не відаць з назвы файла.

Параўнайце табліцу маршрутызацыі да і пасля першага падключэння, і вы ўбачыце намер з аднаго позірку. Профіль, абвешчаны як доступ да адной унутранай праграмы, але які ўсталёўвае шырэйшы маршрут па змаўчанні, кажа вам нешта пра свайго аўтара.

Даверныя матэрыялы і перахопнікі нясуць сапраўдную вагу

Профіль можа падаць кліенту VPN інфармацыю даверу, а пакет канфігурацыі платформы можа пайсці далей і ўсталяваць сертыфікат або корань у сістэмнае сховішча. Гэта розныя абсягі з рознымі наступствамі. Выпадак на ўзроўні кліента ўплывае на праверку адной праграмы; выпадак на ўзроўні сістэмы ўплывае на ўсё, што карыстаецца сховішчам даверу платформы.

Скрыптовыя перахопнікі і плагіны — гэта другая палова. Дырэктыва, якая запускае каманду пры падключэнні, або плагін, загружаны ў працэс кліента, мае вашыя правы і нічога з ізаляцыі кліента. Калі профіль, які вы не запытвалі, змяшчае такі, гэта пытанне да таго, хто яго даслаў.

Ні адна з дзвюх катэгорый не з'яўляецца аўтаматычна варожай. Карпаратыўныя разгортванні выкарыстоўваюць абедзве. Сутнасць у тым, што кожная патрабуе тлумачэння, якое вы можаце праверыць.

Праверце паходжанне, потым уводзьце сакрэт

Усталюйце, хто выдаў файл, праз канал, якому вы ўжо давяраеце, а не праз паведамленне, якое яго даставіла. Параўнайце параметры канчатковага пункта і сертыфіката з апублікаванай дакументацыяй аператара. Калі профіль прыйшоў без запыту, атрымайце новы непасрэдна ў аператара, а не рамантуйце копію, якую вам далі. Спытайце, якую версію кліента падтрымлівае аператар, бо той жа файл можа быць патлумачаны інакш іншым кліентам.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

Ніколі не ўводзьце пароль у непатлумачанае поле, каб пабачыць, ці спрацуе, і ніколі не прымайце незнаёмае запытанне правоў толькі каб скончыць імпарт. Паспяховае падключэнне даказвае, што канчатковы пункт адказаў, і нічога больш.

Выдаліце імпартаваную копію, а не спампаванае

Кліенты капіруюць профіль у сваё сховішча, таму выдаленне спампаванага файла пакідае імпартаванае злучэнне актыўным. Выдаліце яго праз уласны інтэрфейс кліента і праверце, што любы сертыфікат, дададзены падчас імпарту, таксама знік. Затым пацвердзіце, што маршруты, якія ён усталяваў, таксама зніклі.

Калі сертыфікат быў усталяваны на ўзроўні сістэмы, выдалення профілю недастаткова. Гэтае чыставанне належыць да кіравання даверам платформы, і яго варта рабіць свядома, а не спадзявацца, што наступны перазапуск гэта вырашыць.