Kuidas kontrollida OpenVPN-profiili serverit enne selle importimist

Keegi saadab teile profiili, te impordite selle ja kolmkümmend sekundit hiljem valib klient sihtkoha, mida keegi ei kontrollinud. Lugege fail esmalt tekstiredaktoris, sest kõik oluline mahub rusikasse direktiive: remote, proto, port, ca, cert, tls-crypt ja verify-x509-name. Kõik muu on vaikeväärtused ja just seal elavad üllatused.

Loetlege iga lõpp-punkt, mida fail saab kasutada

Alustage lõpp-punktidest, sest üks profiil võib sisaldada mitut. grep -nE '^[[:space:]]*(remote|proto|port|remote-random|connection)' profile.ovpn trükib iga kandidaadi faili järjekorras, sealhulgas need, mis on pesastatud reasisestesse <connection> plokkidesse.

Kui direktiiv jätab pordi vahele, laskub klient kuulaja vaikeväärtusele, nii et üksi remote vpn.example.com tähendab porti 1194 koos kõigega, mis proto hiljem failis esineb. Mitu tavalist remote rida on alternatiivid: klient proovib neid järjekorras, kui remote-random neid ei segamini aja, ja see ei asenda kunagi vaikselt teise operaatori hosti. Kaks remote rida seostamata domeenidel on koht, kus peatute ja küsite, millist mõeldi.

Pöörake tähelepanu ka proto kirjaviisile. tcp võetakse vastu kliendipoolse tcp-client sünonüümina, kuid tcp-server kliendiprofiilis on konfiguratsiooniviga, mis pigem jääb rippuma kui ebaõnnestub puhtalt.

Kinnitage esmalt nimi, siis port

dig +short vpn.example.com ütleb teile, kas nimi on olemas ja milliseid aadresse see tagastab, ning mitme aadressiga või puhverserveri taga olev lõpp-punkt võib õiguspäraselt tagastada mitu. Nime lahendamine on eeltingimus, mitte omandi tõestus; igaüks saab suunata nime aadressile ja üks aadress saab vastata paljude nimede eest.

Seejärel kontrollige kuulajat leitud pordil, vastavalt transpordile. TCP kaudu trükib openssl s_client -connect vpn.example.com:1194 -servername vpn.example.com ahela, mille server esitab. UDP kaudu on vaja DTLS-i: openssl s_client -dtls1_2 -connect vpn.example.com:1194 teeb sama kätlust datagrammide kaudu. Lõpetatud kätlus tõestab, et midagi kuulab ja hoiab sertifikaati, mis on rohkem kui ping näitab ja vähem kui profiili enda usaldusseaded nõuavad.

Kui kätlus ebaõnnestub ja host vastab pingile, on port tõenäoliselt vale või filtreeritud. Võtke seda põhjusena küsida õiget porti, mitte kutsena lähedasi pühkida. nc -vzu teatab mõnes virnas õnnestumisest ka siis, kui miski ei kuula, seega paljas UDP-proov ei tähenda midagi ilma kätluseta selle taga.

Lugege usalduse tihvte aadressist eraldi

Aadress otsustab, kuhu klient läheb; usaldusplokk otsustab, keda ta kohale jõudes usub. verify-x509-name "vpn.example.com" name kinnitab subjekti üldnime ja remote-cert-tls server nõuab serveri autentimiseks laiendatud võtme kasutust. Operaatori antud profiil peaks kandma mõlemat.

Otsige ca, reasisest <ca> plokki ning kas tls-crypt või tls-auth. tls-auth kasutav profiil vajab kliendis key-direction 1, kui serveripool kasutab suunda 0, ja mittevastavus põhjustab kätluse ebaõnnestumise TLS-veaga, mida loetakse sertifikaadi veaks. Reasisene CA, mis ei kuulu operaatorile, kelle nime te äsja lahendasite, tähendab, et fail on kokku pandud kahest allikast, ja see on juhtum, mille võib julgelt tagasi lükata.

verify-x509-name võtab vastu režiimid name, name-prefix või subject ning viimane ootab täielikku eristavat nime täpselt selles järjekorras, nagu server selle trükib. Valige režiim, mis vastab väärtuse kujule, sest klient lükkab iga ühenduse tagasi, selle asemel et hoiatada peaaegu tabamuse eest. Faili puhul, mida te ei kirjutanud, on lihtsa hostinimega name kõige vähem üllatav valik.

Kontrollige valikuid, mis ebaõnnestuvad vaikselt

OpenVPN 2.6 läbiräägib šifrid data-ciphers kaudu ja profiil, mis kannab ainult vana cipher AES-256-CBC rida, võib juhtkanali lõpetada ja siis andmetel takerduda. Selle väärtuse lugemine ütleb, kas fail on vanem kui server, millega liitute; 2.6 juhendileht loetleb läbirääkimiste järjekorra, kui peate selle operaatorile tsiteerima.

Failinimeta auth-user-pass tähendab, et klient küsib, seega iseseisev näiv profiil vajab siiski volitusi. auth-user-pass credentials.txt tähendab, et see ootab faili, mida teile tõenäoliselt ei saadetud. nobind ja resolv-retry infinite on tavalised ja kahjutud, samas kui explicit-exit-notify on ainult UDP jaoks ja TCP kaudu mõttetu.

Miski sellest ei muuda, kuhu profiil ühendub, kuid igaüks muudab, kas see üldse ühendub, ja miski sellest ei ole kliendi impordidialoogis näha.

Otsustage ja seejärel kirjutage üles, mida otsustasite

Pärast seda lugemist on kolm tulemust ja ainult üks on import. Kui lõpp-punkt ja tihvid vastavad juhistele, mille saite eraldi kanali kaudu, importige see. Kui lõpp-punkt tundub õige, kuid tihvid või CA ei vasta, küsige parandatud faili. Kui fail segab eri allikatest pärit lõpp-punkte või CA-materjali, kustutage see ja küsige värsket koopiat.

Kirjutage üles räsi, mida vaatasite, et järgmine inimene teaks, kas fail muutus: sha256sum profile.ovpn, kleebitud lõpp-punkti kõrvale teie märkmetes. Profiil on terviklik korraldus, mitte aadresside loend, seega ärge kunagi ühendage töötavat remote'i kellegi teise usaldusplokki, jättes alles nende volitused.

Hoidke privaatvõtmed ja paroolid ekraanipiltidest ja vestluslõimedest eemal, kui märkmeid võrdlete. Lõpp-punkt ja mitte-salajased valikud on täpse küsimuse jaoks piisavad ning ülejäänu kuulub faili.

Kui te selle siiski impordite ja esimene katse ebaõnnestub, käivitage klient valikuga --verb 3 ja lugege kümmet esimest rida: lahendatud remote-aadress, läbiräägitud proto ja TLS-viga ilmuvad selles järjekorras, mis ütleb teile, millise ülaltoodud kontrolli vahele jätsite.