Beth all proffil VPN a drosglwyddwyd ei newid ar eich dyfais

Pan roddwch broffil VPN i’ch cleient, rydych yn rhoi cyfluniad a ysgrifennwyd gan rywun arall iddo, ac yna mae’r rhaglen honno yn ei weithredu ar eich peiriant. Gall ei fewnforio newid i ble mae traffig a gynhwysir yn mynd, pa gymar y mae eich dyfais yn ymddiried ynddo, ac mewn rhai fformatau pa raglenni lleol sy’n rhedeg pan ddaw’r tiwnel i fyny. Nid nod tudalen yw’r ffeil; mae’n rhaglen fach mewn fformat datganiadol.

Darllenwch hi fel y byddech yn darllen sgript cragen o’r un ffynhonnell.

Y cleient sy’n ei dehongli, nid chi

Mae pob maes yn y ffeil yn gyfarwyddiad i gleient penodol. Mae’r pen draw a’r protocol yn penderfynu i ble mae’r tiwnel yn mynd, mae’r bloc dilysu yn penderfynu pa gyfrinach a ofynnir, ac mae’r cyfarwyddiadau llwybr yn penderfynu beth sy’n mynd iddo. Gall tystysgrifau neu allwedd breifat gael eu mewnosod fel blociau yn hytrach na chael eu cyfeirio fel ffeiliau, a dyna pam mae un ffeil destun weithiau’n cario popeth sydd ei angen i ymddwyn fel chi gerbron porth. Y nodwedd honno sy’n gwneud rhannu ffeiliau achlysurol mor beryglus.

Gall proffiliau OpenVPN hefyd gario bachau sgript, llwybrau ategyn a lefel diogelwch sy’n rheoli a ganiateir i’r bachau hynny redeg. Y cyfuniad hwnnw sy’n gwneud proffil anghyfarwydd yn werth ei ddarllen linell wrth linell yn lle ei glicio ddwywaith. Bydd y cleient yn gwneud yn union yr hyn y mae’r ffeil yn ei ddweud, a bydd yn ei wneud gyda’ch breintiau chi.

Mae newidiadau llwybro i’w gweld ar ôl un cysylltiad

Mae proffil tiwnel llawn yn gosod llwybrau sy’n anfon popeth drwy’r porth, tra bod proffil tiwnel hollt yn anfon dim ond rhagddodiaid dethol. Mae rhai proffiliau hefyd yn gwthio gweinydd DNS, sy’n newid yn ddistaw pwy sy’n gweld eich ymholiadau. Nid oes unrhyw beth o hyn yn faleisus ynddo’i hun, ac nid oes unrhyw beth o hyn yn amlwg o enw’r ffeil.

Cymharwch y tabl llwybro cyn ac ar ôl y cysylltiad cyntaf a byddwch yn gweld y bwriad ar un olwg. Mae proffil a hysbysebir fel mynediad at un ap mewnol ond sy’n gosod llwybr diofyn ehangach yn dweud rhywbeth wrthych am ei awdur.

Deunydd ymddiriedaeth a bachau sy’n cario’r gwir bwysau

Gall proffil ddarparu gwybodaeth ymddiriedaeth i’r cleient VPN, a gall becyn cyfluniad platfform fynd ymhellach a gosod tystysgrif neu wraidd mewn storfa system. Mae’r rhain yn gwmpasau gwahanol â chanlyniadau gwahanol. Mae’r achos yng nghwmpas y cleient yn effeithio ar ddilysu un ap; mae’r achos ar draws y system yn effeithio ar bopeth sy’n defnyddio storfa ymddiriedaeth y platfform.

Bachau sgript ac ategion yw’r hanner arall. Mae cyfarwyddiad sy’n rhedeg gorchymyn wrth gysylltu, neu ategyn a lwythir i broses y cleient, yn cael eich caniatadau ac yn cael dim o freinlen y cleient. Os oes un mewn proffil na wnaethoch ei ofyn amdano, cwestiwn i’r sawl a’i hanfonodd yw hynny.

Nid yw’r naill gategori na’r llall yn elyniaethus yn awtomatig. Mae gosodiadau corfforaethol yn defnyddio’r ddau. Y pwynt yw bod angen esboniad y gallwch ei wirio ar bob un.

Gwiriwch y tarddiad, yna nodwch y gyfrinach

Sefydlwch pwy a gyhoeddodd y ffeil drwy sianel rydych eisoes yn ymddiried ynddi, nid drwy’r neges a’i danfonodd. Cymharwch fanylion y pen draw a’r dystysgrif â dogfennaeth gyhoeddedig y gweithredwr. Os daeth proffil heb ei ofyn, ceisiwch un newydd gan y gweithredwr yn uniongyrchol yn hytrach na thrwsio’r copi a roddwyd i chi. Gofynnwch pa fersiwn cleient y mae’r gweithredwr yn ei gefnogi, oherwydd gall cleient arall ddehongli’r un ffeil yn wahanol.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

Peidiwch byth â rhoi cyfrinair mewn maes heb ei egluro i weld a yw’n gweithio, ac na dderbyniwch byth anogiad braint anghyfarwydd dim ond i orffen mewnforio. Mae cysylltiad llwyddiannus yn profi bod y pen draw wedi ateb, dim mwy.

Tynnwch y copi a fewnforiwyd, nid y lawrlwythiad

Mae cleientiaid yn copïo proffil i’w storfa eu hunain, felly mae dileu’r ffeil a lawrlwythwyd yn gadael y cysylltiad a fewnforiwyd yn weithredol. Tynnwch ef drwy ryngwyneb y cleient ei hun, a gwiriwch fod unrhyw dystysgrif a ychwanegwyd yn ystod y mewnforio wedi mynd hefyd. Yna cadarnhewch fod y llwybrau a osododd wedi mynd hefyd.

Os gosodwyd tystysgrif ar draws y system, nid yw tynnu’r proffil yn ddigon. Mae’r glanhau hwnnw’n perthyn i reolaeth ymddiriedaeth y platfform, ac mae’n werth ei wneud yn fwriadol yn lle gobeithio y bydd yr ailgychwyn nesaf yn ei drin.