Võrrelge kahte OpenVPN-profiili ilma võtmeid lekitamata

Tekstidiff võib paljastada manustatud võtmed sama kergesti, kui näitab muudetud direktiivi. Võrrelge rolli järgi kaitstud koopiatel ja looge seejärel eraldi redigeeritud diagnoosifail.

Kaks profiili, üks ühendub ja teine mitte, ja kiire viis põhjuse nägemiseks on diff. Häda on selles, et sama diff trükib manustatud privaatvõtme, staatilise võtme ja iga volituste ploki, mida fail kannab, ning inimesed kleebivad väljundi vestlusesse enne, kui märkavad. Otsus, mida te võrdlete, tuleb enne käsu käivitamist. Võrrelge struktuuri ja rolle kaitstud koopiatel ning looge eraldi redigeeritud fail, kui keegi teine peab seda nägema.

Mida .ovpn-fail tegelikult sisaldab

Fail .ovpn on konfiguratsioon valikuliste manustatud plokkidega. See võib sisaldada CA-sertifikaati, kliendisertifikaati, privaatvõtit, võtit tls-auth või tls-crypt ning direktiive, mis osutavad välistele failidele või küsivad volitusi. Kaks faili võivad paista peaaegu identsed ja erineda ainult ploki sees või ühes direktiivis, mis muudab transpordi täielikult. Ridade arv ei ütle teile midagi selle kohta, mis neist juhtus.

Erinevus võtmeploki sees ei ole millegi avalik tõestus. Uuesti välja antud sertifikaat ja uue võtmega sertifikaat võivad anda sama kuju muutuse, seega ploki lahknevus ütleb, et materjal on erinev, mitte milline otsus selle tekitas. Käsitlege seda signaalina välju võrrelda, mitte leiuna.

Võrrelge rolli, mitte rea järgi

Järgige ühenduse enda järjekorda: kõigepealt lõpp-punkt ja transport, siis usaldus ja oodatud identiteet, siis kasutaja autentimine, siis marsruudid, DNS ja skriptikonksud. See järjestus vastab sellele, mida klient teeb, nii et esimene erinevus, mida kohtate, on esimene asi, mis võis ühenduse katkestada. Tähestikuline võrdlemine hajutab hoopis seotud seaded kogu väljundi peale.

Väljateadlik läbivaatus vaatab neid üksusi selles järjekorras. Kõik, mida klient interaktiivselt küsib, kuulub autentimisreale, mitte usaldusridadele.

  • remote, proto ja port, sealhulgas iga ühendusplokk.
  • ca ja cert: väljaandja, subjekt ja kehtivuse lõpp.
  • Kas privaatvõti üldse on olemas, mitte kunagi see, mida see sisaldab.
  • tls-auth või tls-crypt olemasolu ja võtme suund.
  • Autentimisdirektiivid, sealhulgas mis tahes viide volitusfailile.
  • Marsruudid, DNS-valikud ja skriptikonksud, mis käivituvad ühendamisel.

Kui fail sisaldab mitut ühendusplokki, hoidke iga valik oma lõpp-punkti juures. Ainult esimese remote rea võrdlemine võib jätta märkamata alternatiivi, mille klient selles võrgus tegelikult valib.

Miks tavaline diff on vale tööriist

Tavaline diff on loodud teksti, mitte saladuste jaoks. See trükib hea meelega privaatvõtme ekraani ajalukku ega ütle teile, et direktiiv, mille otsa te vaatate, on tõrkega seotud. Väljade eraldamine on ühtaegu turvalisem ja loetavam, sest sertifikaadi materjali saab võrrelda metaandmetena, mitte baitidena.

openssl x509 -in ca.crt -noout -subject -issuer -enddate
openssl x509 -in client.crt -noout -subject -issuer -enddate
grep -E '^(remote|proto|port|tls-auth|tls-crypt|route|dhcp-option)' profile.ovpn

Esimesed kaks käsku trükivad identiteedi ja kehtivuse ilma võtit puutumata, seega on nende väljund ohutu kleepida. grep trükib direktiivide nimed ja väärtused, kuid mitte kunagi plokkide sisu, mis teeb sellest õige esimese läbivaatuse, kui kahtlustate transpordi või marsruutimise erinevust. Kui plokki ennast tuleb võrrelda, võrrelge selle räsi, mitte sisu.

Looge pileti jaoks redigeeritud koopia

Eemaldage tõelised saladused ja mittevajalikud identifikaatorid, säilitades väljade nimed ja piisava struktuuri erinevuse selgitamiseks. Sama kujuga marker paljastab siiski, kus materjal asub ja kui pikk see oli, seega otsustage, kas ka see on vastuvõetav. Kontrollige lõplikku manust ennast, selle asemel et usaldada käsku, mille mäletate olevat käivitanud. Ärge muutke töötavat originaali ainult näite loomiseks, sest redigeeritud profiil ei pruugi olla käivitatav ja seda ei tohi kunagi uuesti importida.

Hoidke originaalid tuvastatavad failinime ja räsi järgi, selle asemel et kopeerida need kolme sarnase nimega kausta. Räsi string on piisav tõestamaks, millist faili vaadati, ja ei maksa midagi, kui see lekib. Kärpige koopiaid pärast muudatuse sulgemist, et järgmine inimene päriks ühe autoriteetse faili.

Hoidke võrdlus tõrke küljes

Võrdlus on oma hinda väärt, kui see vastab küsimusele ühe impordi või ühe ühendustõrke kohta. Nimetage kõigepealt ebaõnnestuv samm ja võrrelge seejärel ainult välju, millest see samm sõltub; kliendi kõigi volituste kogumine ühte kausta teeb järgmise lekke tõenäolisemaks ja järgmise diagnoosi aeglasemaks. Mida kitsam on küsimus, seda lühem on väljade loend, mis saavad sellele vastata.

Kui uus fail tuli operaatorilt, kinnitage selle levitamistee enne usaldusmaterjali asendamist. Pärast muudatust kontrollige imporditud koopiat, mille klient tegelikult valis, ja läbiräägitud tulemust, sest mõni direktiiv võib teise kliendiversiooni poolt jääda tähelepanuta või erinevalt tõlgenduda. Fail kettal ei ole tõestus ühenduse toimumise kohta. Direktiivide semantika on OpenVPN 2.6 käsiraamatus.

Seotud artiklid