Konparatu bi OpenVPN profil gakoak filtratu gabe

Bi profil, bat konektatzen da eta bestea ez, eta zergatia ikusteko bide azkarra diff bat da. Arazoa da diff berak fitxategiak daraman barneko gako pribatua, gako estatikoa eta kredentzialen edozein bloke inprimatzen dituela, eta jendeak irteera txat batean itsasten du ohartu aurretik. Zer konparatzen ari zaren erabakitzea komandoa exekutatu aurretik dator. Konparatu egitura eta rolak babestutako kopietan, eta eraiki berrikusitako fitxategi bereizi bat beste norbaitek ikusi behar duenean.

Zer darama benetan .ovpn fitxategi batek

Fitxategi .ovpn bat konfigurazio bat da, hautazko barneko blokeekin. CA ziurtagiria, bezeroaren ziurtagiria, gako pribatua, tls-auth edo tls-crypt gakoa, eta kanpoko fitxategietara bideratzen diren edo kredentzialak eskatzen dituzten direktibak eduki ditzake. Bi fitxategi ia berdinak izan daitezke eta bloke baten barruan bakarrik desberdindu, edo garraioa erabat aldatzen duen direktiba batean. Lerro kopuruak ez dizu ezer esaten horietako zein gertatu zen.

Gako-bloke baten barruko desberdintasuna ez da ezeren froga publikoa. Berrergindako ziurtagiri batek eta gako berria duen batek aldaketaren forma bera sor dezakete, beraz blokearen desadostasunak materiala desberdina dela esaten du, ez zein erabakik sortu zuen. Hartu eremuak konparatzeko seinale gisa, ez aurkikuntza gisa.

Konparatu rolen arabera, ez lerroen arabera

Jarraitu konexioaren beraren ordenari: lehenik muturra eta garraioa, gero konfiantza eta espero den identitatea, gero erabiltzailearen autentifikazioa, gero ibilbideak, DNS eta script kakoak. Segida hori bezeroak egiten duenarekin bat dator, beraz aurkitzen duzun lehen desberdintasuna konexioa hautsi zezakeen lehen gauza da. Alfabetikoki konparatzeak, aldiz, erlazionatutako ezarpenak irteera osoan barreiatzen ditu.

Eremuak kontuan hartzen dituen pasada batek elementu hauei begiratzen die, ordena horretan. Bezeroak interaktiboki eskatzen duen guztia autentifikazio errenkadari dagokio, ez konfiantza errenkadei.

• remote, proto eta portua, konexio-bloke bakoitza barne.
• ca eta cert: igorlea, gaia eta iraungitze-data.
• Gako pribaturik badagoen, inoiz ez zer daukana.
• tls-auth edo tls-crypt presentzia eta gakoaren norabidea.
• Autentifikazio direktibak, kredentzial fitxategi baten erreferentzia barne.
• Konektatzean exekutatzen diren ibilbideak, DNS aukerak eta script kakoak.

Fitxategi batek hainbat konexio-bloke dituenean, eduki aukera bakoitza bere muturrarekin. Lehenengo remote lerroa soilik konparatzeak bezeroak sare honetan benetan aukeratzen duen alternatiba gal dezake.

Zergatik den diff soil bat tresna okerra

Diff soil bat testurako dago egina, ez sekretuetarako. Pozik inprimatuko du gako pribatu bat pantailako historikoan, eta ez dizu esango begiratzen ari zaren direktibak porrotarekin zerikusirik ez duenik. Eremu-erauzketak seguruagoak eta irakurgarriagoak dira aldi berean, ziurtagirien materiala byte gisa beharrean metadatu gisa konpara baitaiteke.

openssl x509 -in ca.crt -noout -subject -issuer -enddate
openssl x509 -in client.crt -noout -subject -issuer -enddate
grep -E '^(remote|proto|port|tls-auth|tls-crypt|route|dhcp-option)' profile.ovpn

Lehen bi komandoek identitatea eta baliozkotasuna inprimatzen dituzte gakoa ukitu gabe, beraz haien irteera segurua da itsasteko. grep-ek direktiben izenak eta balioak inprimatzen ditu, baina inoiz ez blokeen gorputzak, eta horrek lehen pasada zuzena bihurtzen du garraio edo bideratze desberdintasuna susmatzen duzunean. Blokea bera konparatu behar bada, konparatu bere hash-a edukiaren ordez.

Eraiki berrikusitako kopia bat tiketarako

Kendu benetako sekretuak eta beharrezkoak ez diren identifikatzaileak, eremuen izenak eta desberdintasuna azaltzeko adina egitura mantenduz. Forma bereko markatzaile batek oraindik agerian uzten du materiala non dagoen eta zenbatekoa zen, beraz erabaki hori ere onargarria den. Egiaztatu azken eranskina bera, gogoratzen duzun komandoa exekutatu izana fidatu beharrean. Ez editatu laneko originala adibide bat sortzeagatik bakarrik, berrikusitako profil bat ez baita nahitaez exekutagarria eta ez litzateke inoiz berriro inportatu behar.

Eduki originalak ezagutgarri fitxategi-izenaren eta hash-aren bidez, izen antzeko hiru direktorioetan kopiatu beharrean. Hash kate bat nahikoa da zein fitxategi berrikusi zen frogatzeko, eta ez du ezer kostatzen filtratzen bada. Moztu kopiak aldaketa itxi ondoren, hurrengo pertsonak fitxategi autoritatibo bakarra hereda dezan.

Eduki konparazioa porrot bati lotuta

Konparazio batek bere kostua merezi du inportazio bati edo konexio porrot bati buruzko galdera bati erantzuten dionean. Izenda ezazu lehenik huts egiten duen urratsa, eta gero konparatu urrats horrek mendekotasuna duen eremuak soilik; bezeroaren kredentzial guztiak direktorio bakarrean biltzeak hurrengo filtrazioa litekeena eta hurrengo diagnostikoa motelagoa egiten ditu. Zenbat eta galdera estuagoa, orduan eta laburragoa erantzun dezaketen eremuen zerrenda.

Fitxategi berri bat operadoretik etorri bada, egiaztatu banaketa-bidea konfiantza-materiala ordezkatu aurretik. Aldaketaren ondoren, aztertu bezeroak benetan hautatu zuen inportatutako kopia eta negoziatutako emaitza, direktiba bat beste bezero bertsio batek baztertu edo bestela irakur baitdezake. Diskoan dagoen fitxategia ez da exekutatu zen konexioaren froga. Direktiben semantika OpenVPN 2.6 eskuliburuan.