Symudedd proffil OpenVPN: allweddi symudol yn erbyn opsiynau platfform

Mae’r un ffeil .ovpn yn agor tiwnel mewn un cleient ac yn methu dechrau mewn un arall, a’r dystysgrif yw’r prif amheuyn fel rheol. Yn amlach, mae’r ffeil yn cynnwys cyfarwyddiad nad yw ond un peiriant yn ei weithredu. Mae proffil yn gontract â chleient penodol, nid yn sgript symudol.

Gwahaniwch yr hyn sy’n teithio gyda’r hunaniaeth oddi wrth yr hyn sy’n perthyn i blatfform. Yna mae’r methiant fel rheol yn enwi ei hun.

Un ffeil, dau gontract

Mae proffil yn casglu tri math o gynnwys: deunydd hunaniaeth fel tystysgrifau CA a chleient a’r allwedd breifat, ffeithiau cludo fel y pen draw ymhell a’r protocol, a chyfarwyddiadau ymddygiad fel trin DNS neu opsiynau dyfais. Mae’r ddau gyntaf yn eang symudol rhwng peiriannau sy’n cefnogi’r un protocol. Y trydydd yw’r man lle mae gweithrediadau’n gwyro. Trin y ffeil gyfan fel un uned symudol sy’n cynhyrchu’r methiannau dryslyd.

Nid yw ffeil sy’n gweithio mewn rhyngwyneb graffig ar un platfform yn ddilys yn awtomatig i’r cleient llinell orchymyn ar blatfform arall. Hyd yn oed pan fo’r ddau yn OpenVPN, mae’r parsers a’r setiau opsiynau’n wahanol. Dyna pam nad yw mewnforio llwyddiannus yn dystiolaeth o broffil symudol.

Deunydd symudol yn erbyn cyfarwyddiadau platfform

Yr adrannau hunaniaeth a chludo yw’r rhan i’w chadw. Mae ca, cert, key a remote yn disgrifio pwy sy’n cysylltu a ble, ac maent yn golygu’r un peth i unrhyw gleient cydymffurfiol.

Cyfarwyddiadau ymddygiad yw’r rhan i’w chymharu. Mae block-outside-dns, er enghraifft, yn bodoli i newid ymddygiad DNS Windows. Efallai na fydd cleient Unix yn ei adnabod o gwbl.

Darllenwch restr opsiynau’r cleient sy’n derbyn, nid yr un sy’n anfon. Mae llawlyfr cyfeirio OpenVPN 2.6 yn dogfennu opsiynau’r peiriant, ac nid yw deialog mewnforio rhyngwyneb graffig yn y rhestr honno.

Darllenwch wall y parser cyn y dystysgrif

Mae gwall sy’n enwi opsiwn anadnabyddus yn fethiant parser, nid yn fethiant dilysu. Ni chyrhaeddodd y cysylltiad TLS erioed, felly ni all newid tystysgrifau helpu. Darllenwch y gwall cyntaf o’r cleient a’r fersiwn gwirioneddol, yna tynnwch neu ddisodlwch yn unig y cyfarwyddiad na all y cleient hwnnw ei weithredu. Dileu adrannau tystysgrif neu lwybrau i wneud i’r ffeil lwytho yw sut mae proffil gweithredol yn troi’n un anniogel.

Os yw’r gwall yn crybwyll yr handshake, tystysgrif neu sawt, mae’r proffil wedi’i barsio ac mae’r broblem yn rhywle arall.

Cadwch y ffeil wreiddiol wrth ymyl yr un addasedig. Pan fydd yr addasedig yn methu’n ddiweddarach, yr un gwreiddiol yw’r rheolaeth sy’n dweud wrthych a symudodd y newid ynteu’r amgylchedd.

Mae braint yn ail ffin

Mae braint yw’r ffin arall: mae creu dyfais tiwnel, gosod llwybrau a darllen allwedd breifat i gyd yn dibynnu ar ganiatadau lleol. Mae ffeil allwedd y gellir ei darllen gan root yn unig yn ddefnydd arferol, nid yn nam proffil. Mae’r atgyweiriad yn perthyn i berchnogaeth neu gallu, nid i’r ffeil.

Gall rhedeg y cleient gyda sudo ddatrys gwrthodiad caniatâd lleol, ac ni all ychwanegu cyfarwyddiad nad yw’r deuaidd yn ei weithredu. Mae hefyd yn newid pa gylch allweddi, llwybrau ffurfweddu a chyd-destun rheolwr rhwydwaith defnyddiwr sy’n berthnasol, felly nid yr un prawf yw’r canlyniad.

Addaswch yn fwriadol

Pan fydd darparwr yn cyhoeddi proffiliau ar wahân, cymerwch yr un a fwriedir ar gyfer y cleient sy’n derbyn. Mae addasu ffeil platfform arall yn fodd olaf. Mae angen cofnod o bob opsiwn a newidwyd a chopi o’r gwreiddiol.

Profwch hunaniaeth, llwybro a DNS fel tri chanlyniad ar wahân. Mae proffil sy’n dilysu ac yn llwybro ond yn torri datrysiad enwau yn broffil a addaswyd yn rhannol, nid yn un gweithredol.