Kion transdonita VPN-profilo povas ŝanĝi sur via aparato

Transdoni VPN-profilon al via kliento signifas transdoni agordon skribitan de iu alia, kiun tiu programo poste plenumas sur via maŝino. Ĝia importo povas ŝanĝi, kien iras la kovrita trafiko, al kiu kontraŭulo via aparato fidas, kaj en kelkaj formatoj, kiuj lokaj programoj ekfunkcias kiam la tunelo leviĝas. La dosiero ne estas legosigno; ĝi estas malgranda programo en deklara formato.

Legu ĝin tiel, kiel vi legus ŝelan skripton el la sama fonto.

La kliento interpretas ĝin, ne vi

Ĉiu kampo en la dosiero estas instrukcio al difinita kliento. La finpunkto kaj protokolo decidas, kien iras la tunelo, la aŭtentiga bloko decidas, kiu sekreto estas postulata, kaj la vojaj direktivoj decidas, kio eniras ĝin. Atestiloj aŭ privata ŝlosilo povas esti enkorpigitaj kiel blokoj anstataŭ referencitaj kiel dosieroj, kaj tial unu tekstdosiero kelkfoje portas ĉion necesan por ŝajnigi sin vi antaŭ pordego. Ĝuste tiu eco igas ordinaran dosierkunhavigon tiel danĝera.

OpenVPN-profiloj ankaŭ povas porti skriptajn hokojn, kromprogramajn vojojn kaj sekurecan nivelon, kiu regas, ĉu tiuj hokoj rajtas funkcii. Ĝuste tiu kombino igas nekonatan profilon inda legi linion post linio anstataŭ duoble klaki ĝin. La kliento faros ĝuste tion, kion diras la dosiero, kaj faros tion per viaj privilegioj.

Ŝanĝoj de vojigo videblas post unu konekto

Plentunela profilo instalas vojojn, kiuj sendas ĉion tra la pordego, dum disigita tunela profilo sendas nur elektitajn prefiksojn. Iuj profiloj ankaŭ puŝas DNS-servilon, kio silente ŝanĝas, kiu vidas viajn demandojn. Nenio el tio estas malica per si mem, kaj nenio el tio estas evidenta laŭ la dosiernomo.

Komparu la vojigan tabelon antaŭ kaj post la unua konekto kaj vi vidos la intencon per unu rigardo. Profilo anoncita kiel aliro al unu interna aplikaĵo sed instalanta pli vastan implicitan vojon diras al vi ion pri sia aŭtoro.

Fidmaterialo kaj hokoj portas la realan pezon

Profilo povas liveri fidinformojn al la VPN-kliento, kaj platforma agorda pakaĵo povas iri pli malproksimen kaj instali atestilon aŭ radikon en sisteman konservejon. Tiuj estas malsamaj ampleksoj kun malsamaj sekvoj. La kazo en klienta amplekso influas la validigon de unu aplikaĵo; la kazo sistemnivela influas ĉion, kio uzas la fidan konservejon de la platformo.

Skriptaj hokoj kaj kromprogramoj estas la alia duono. Direktivo, kiu rulas komandon ĉe konekto, aŭ kromprogramo ŝargita en la klientan procezon, havas viajn permesojn kaj nenion el la izoliteco de la kliento. Se profilo, kiun vi ne petis, enhavas tian, tio estas demando por la persono, kiu sendis ĝin.

Neniu el la du kategorioj estas aŭtomate malamika. Entreprenaj disfaldoj uzas ambaŭ. La punkto estas, ke ĉiu postulas klarigon, kiun vi povas kontroli.

Kontrolu la devenon, poste enigu la sekreton

Establu, kiu eldonis la dosieron, per kanalo, kiun vi jam fidas, ne per la mesaĝo, kiu liveris ĝin. Komparu la detalojn de finpunkto kaj atestilo kun la publikigita dokumentaro de la funkciigisto. Se profilo alvenis sen peto, akiru novan rekte de la funkciigisto anstataŭ ripari la kopion, kiun oni donis al vi. Demandu, kiun klientan version la funkciigisto subtenas, ĉar la saman dosieron alia kliento povas interpreti malsame.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

Neniam metu pasvorton en neklarigitan kampon por vidi, ĉu ĝi funkcias, kaj neniam akceptu nekonatan privilegian peton nur por fini importon. Sukcesa konekto pruvas, ke la finpunkto respondis, nenion pli.

Forigu la importitan kopion, ne la elŝutaĵon

Klientoj kopias profilon en sian propran konservejon, do forigo de la elŝutita dosiero lasas la importitan konekton aktiva. Forigu ĝin per la propra interfaco de la kliento, kaj kontrolu, ĉu ankaŭ malaperis atestilo aldonita dum la importo. Poste konfirmu, ke ankaŭ la vojoj, kiujn ĝi instalis, malaperis.

Se atestilo estis instalita sistemnivele, forigi la profilon ne sufiĉas. Tiu purigado apartenas al la fida administrado de la platformo, kaj indas fari ĝin intence anstataŭ esperi, ke la sekva restarto traktos ĝin.