Cymharu dau broffil OpenVPN heb ollwng allweddi

Gall diff testun ddatgelu allweddi mewnol mor hawdd ag y mae'n dangos cyfarwyddeb wedi newid. Cymharwch yn ôl rôl ar gopïau gwarchodedig, yna crëwch ffeil ddiagnostig wedi'i golygu ar wahân.

Dau broffil, un yn cysylltu ac un yn peidio, a'r ffordd gyflym o weld pam yw diff. Y drafferth yw bod yr un diff yn argraffu'r allwedd breifat fewnol, yr allwedd statig a phob bloc cymwysiadau y mae'r ffeil yn ei gario, ac mae pobl yn gludo'r allbwn i sgwrs cyn sylwi. Mae penderfynu beth rydych yn ei gymharu yn dod cyn rhedeg y gorchymyn. Cymharwch strwythur a rolau ar gopïau gwarchodedig, a chodwch ffeil wedi'i golygu ar wahân pan fydd rhywun arall angen ei gweld.

Beth mae ffeil .ovpn yn ei gario mewn gwirionedd

Mae ffeil .ovpn yn gyfluniad gyda blociau mewnol dewisol. Gall ddal tystysgrif CA, tystysgrif cleient, allwedd breifat, allwedd tls-auth neu tls-crypt, a chyfarwyddebau sy'n cyfeirio at ffeiliau allanol neu'n gofyn am gymwysiadau. Gall dwy ffeil edrych bron yn union yr un fath a gwahaniaethu dim ond y tu mewn i floc, neu mewn un gyfarwyddeb sy'n newid y cludo'n gyfan gwbl. Nid yw nifer y llinellau'n dweud unrhyw beth wrthych am ba un o'r rhain a ddigwyddodd.

Nid yw gwahaniaeth y tu mewn i floc allwedd yn dystiolaeth gyhoeddus o unrhyw beth. Gall tystysgrif a ailosodwyd a thystysgrif ag allwedd newydd gynhyrchu'r un siâp o newid, felly mae'r anghysondeb bloc yn dweud bod y deunydd yn wahanol, nid pa benderfyniad a'i creodd. Triniwch ef fel arwydd i gymharu meysydd, nid fel canfyddiad.

Cymharwch yn ôl rôl, nid yn ôl llinell

Dilynwch drefn y cysylltiad ei hun: pwynt terfyn a chludo yn gyntaf, yna ymddiriedaeth a hunaniaeth ddisgwyliedig, yna dilysu defnyddiwr, yna llwybrau, DNS a bachau sgript. Mae'r dilyniant hwnnw'n cyfateb i'r hyn y mae'r cleient yn ei wneud, felly'r gwahaniaeth cyntaf a gewch yw'r peth cyntaf a allai fod wedi torri'r cysylltiad. Mae cymharu'n wyddorol yn gwasgaru gosodiadau cysylltiedig ar draws yr allbwn yn lle hynny.

Mae tro sy'n ymwybodol o feysydd yn edrych ar yr eitemau hyn, yn y drefn honno. Mae unrhyw beth y mae'r cleient yn ei ofyn yn ryngweithiol yn perthyn i'r rhes ddilysu yn hytrach na'r rhesi ymddiriedaeth.

  • remote, proto a phorth, gan gynnwys pob bloc cysylltiad.
  • ca a cert: dyroddwr, pwnc a dyddiad dod i ben.
  • A oes allwedd breifat yn bresennol o gwbl, byth beth sydd ynddi.
  • tls-auth neu tls-crypt presenoldeb a chyfeiriad yr allwedd.
  • Cyfarwyddebau dilysu, gan gynnwys unrhyw gyfeiriad at ffeil gymwysiadau.
  • Llwybrau, opsiynau DNS a bachau sgript sy'n rhedeg wrth gysylltu.

Pan fydd ffeil yn dal sawl bloc cysylltiad, cadwch bob opsiwn gyda'i bwynt terfyn. Gall cymharu dim ond y llinell remote gyntaf fethu'r dewis arall y mae'r cleient yn ei ddewis mewn gwirionedd ar y rhwydwaith hwn.

Pam mai diff plaen yw'r offeryn anghywir

Adeiladwyd diff plaen ar gyfer testun, nid ar gyfer cyfrinachau. Bydd yn argraffu allwedd breifat i hanes y sgrin yn fodlon, ac ni fydd yn dweud wrthych fod y gyfarwyddeb rydych yn syllu arni yn amherthnasol i'r methiant. Mae echdyniadau meysydd yn fwy diogel ac yn fwy darllenadwy ar yr un pryd, oherwydd gellir cymharu deunydd tystysgrif fel metadata yn hytrach na beitiau.

openssl x509 -in ca.crt -noout -subject -issuer -enddate
openssl x509 -in client.crt -noout -subject -issuer -enddate
grep -E '^(remote|proto|port|tls-auth|tls-crypt|route|dhcp-option)' profile.ovpn

Mae'r ddau orchymyn cyntaf yn argraffu hunaniaeth a dilysrwydd heb gyffwrdd â'r allwedd, felly mae eu hallbwn yn ddiogel i'w gludo. Mae grep yn argraffu enwau a gwerthoedd cyfarwyddebau ond byth cyrff y blociau, sy'n ei wneud y tro cyntaf cywir pan amheuwch wahaniaeth cludo neu lwybr. Os rhaid cymharu bloc ei hun, cymharwch ei hash yn hytrach na'r cynnwys.

Codwch gopi wedi'i olygu ar gyfer y tocyn

Tynnwch gyfrinachau go iawn a dynodwyr diangen tra'n cadw enwau meysydd a digon o strwythur i esbonio'r gwahaniaeth. Mae marciwr o'r un siâp yn dal i ddatgelu lle mae'r deunydd a pha mor hir ydoedd, felly penderfynwch a yw hyd yn oed hynny'n dderbyniol. Archwiliwch yr atodiad terfynol ei hun yn hytrach na dibynnu ar y gorchymyn rydych yn cofio ei redeg. Peidiwch â golygu'r gwreiddiol gweithredol dim ond i gynhyrchu enghraifft, oherwydd nid yw proffil wedi'i olygu o reidrwydd yn weithredadwy ac ni ddylid ei fewnforio byth eto.

Cadwch y gwreiddiolion yn adnabyddadwy drwy enw ffeil a hash yn hytrach na'u copïo i dri chyfarwyddiadur ag enwau tebyg. Mae llinyn hash yn ddigon i brofi pa ffeil a adolygwyd ac nid yw'n costio dim os yw'n gollwng. Tociwch y copïau ar ôl i'r newid gau fel bod y person nesaf yn etifeddu un ffeil awdurdodol.

Cadwch y gymhariaeth ynghlwm wrth fethiant

Mae cymhariaeth yn ennill ei chost pan fydd yn ateb cwestiwn am un mewnforiad neu un methiant cysylltiad. Enwch y cam sy'n methu yn gyntaf, yna cymharwch yn unig y meysydd y mae'r cam hwnnw'n dibynnu arnynt; mae casglu pob cymhwysiad sydd gan y cleient i un cyfarwyddiadur yn gwneud y gollyngiad nesaf yn fwy tebygol a'r diagnosis nesaf yn arafach. Y cwestiwn yn gulach, y rhestr o feysydd a all ei ateb yn fyrrach.

Os daeth ffeil newydd gan y gweithredwr, cadarnhewch ei llwybr dosbarthu cyn disodli deunydd ymddiriedaeth. Ar ôl y newid, archwiliwch y copi mewnforiedig a ddewiswyd gan y cleient mewn gwirionedd a'r canlyniad a drafodwyd, oherwydd gall cyfarwyddeb gael ei hanwybyddu neu ei darllen yn wahanol gan fersiwn cleient arall. Nid yw'r ffeil ar y disg yn brawf o'r cysylltiad a redodd. Mae semanteg y cyfarwyddebau yn y llawlyfr OpenVPN 2.6.

Erthyglau cysylltiedig