Nola egiaztatu OpenVPN profil baten zerbitzaria inportatu aurretik

Norbaitek profil bat bidaltzen dizu, inportatu egiten duzu, eta hogeita hamar segundo geroago bezero bat inork egiaztatu ez duen helmugara deitzen ari da. Irakurri fitxategia testu-editore batean lehenengo, garrantzitsua den guztia direktiba gutxi batzuetan sartzen baita: remote, proto, port, ca, cert, tls-crypt eta verify-x509-name. Gainerako guztia lehenespenak dira, eta sorpresak han bizi dira.

Zerrendatu fitxategiak erabil ditzakeen mutur guztiak

Hasi muturrekin, profil batek hainbat izan baititzake. grep -nE '^[[:space:]]*(remote|proto|port|remote-random|connection)' profile.ovpn-k hautagai bakoitza fitxategiaren ordenan inprimatzen du, <connection> bloke lerrokatuen barruan daudenak barne.

Direktiba batek portua uzten duenean, bezeroak entzulearen lehenespenera jotzen du, beraz remote vpn.example.com bakarrik 1194 portua esan nahi du fitxategian geroago agertzen den edozein proto-ekin. Hainbat remote lerro soil alternatibak dira: bezeroak ordenan probatzen ditu remote-random-k nahasten ez baditu, eta ez du inoiz isilik beste operadore baten ostalaria ordezkatzen. Erlaziorik gabeko domeinuetan bi remote lerro gelditu eta zein zen nahi zen galdetu behar duzun tokia da.

Kontuan hartu proto-ren idazkera ere. tcp bezeroaren aldeko tcp-client-en sinonimo gisa onartzen da, baina bezero-profil batean tcp-server konfigurazio-errorea da, garbi huts egitea baino gehiago zintzilikatzeko joera duena.

Berretsi izena, gero portua

dig +short vpn.example.com-k izena existitzen den eta zein helbide itzultzen dituen esaten dizu, eta helbide anitzeko edo proxy baten atzeko mutur batek hainbat itzul ditzake zilegi. Izenaren ebazpena aurrebaldintza da, ez jabetzaren froga; edonork bidera dezake izen bat helbide batera, eta helbide batek hainbat izeni erantzun diezaieke.

Ondoren egiaztatu entzulea aurkitutako portuan, garraioarekin bat etorriz. TCP bidez, openssl s_client -connect vpn.example.com:1194 -servername vpn.example.com-k zerbitzariak aurkezten duen katea inprimatzen du. UDP bidez DTLS behar duzu: openssl s_client -dtls1_2 -connect vpn.example.com:1194-k esku-emate bera exekutatzen du datagramen gainean. Amaitutako esku-emate batek zerbait entzuten ari dela eta ziurtagiri bat duela frogatzen du, hau da, ping-ek erakusten duena baino gehiago eta profilaren konfiantza-ezarpenek eskatzen dutena baino gutxiago.

Esku-emateak huts egiten duenean eta ostalariak ping-ri erantzuten dionean, portua okerra edo iragazia izango da seguruenik. Hartu hori portu zuzena eskatzeko arrazoi gisa, ez ingurukoak garbitzeko gonbidapen gisa. nc -vzu-k ere arrakasta ematen du pila batzuetan ezer entzun gabe, beraz UDP proba soilak ez du ezer esan nahi atzean esku-ematerik ez badago.

Irakurri konfiantza-orratzak helbidetik bereizita

Helbideak erabakitzen du bezeroak nora doan; konfiantza-blokeak erabakitzen du nori sinesten dion iritsita. verify-x509-name "vpn.example.com" name-k subjektuaren izen arrunta orratzen du, eta remote-cert-tls server-k zerbitzariaren autentifikaziorako gako-erabilera hedatuarekin eskatzen du. Operadore batek emandako profilek biak eraman beharko lituzke.

Bilatu ca, <ca> bloke lerrokatu bat, eta tls-crypt edo tls-auth. tls-auth erabiltzen duen profilek key-direction 1 behar du bezeroan zerbitzariaren aldeak 0 norabidea erabiltzen duenean, eta desadostasunak esku-ematea hutsarazten du ziurtagiri-errore gisa irakurtzen den TLS errore batekin. Orain ebatzitako operadorearena ez den CA lerrokatu batek fitxategia bi iturritatik muntatu zela esan nahi du, eta hori da zuzenean baztertzeko merezi duen kasua.

verify-x509-name-k name, name-prefix edo subject moduak onartzen ditu, eta azkenak zerbitzariak inprimatzen duen ordena zehatzean izen bereizgarri osoa espero du. Aukeratu balioaren formarekin bat datorren modua, bezeroak konexio guztiak ukatzen baititu ia-asmatze baten berri eman beharrean. Idatzi ez duzun fitxategi batentzat, ostalari-izen soilarekin name da aukerarik gutxien harrigarriena.

Egiaztatu isilik huts egiten duten aukerak

OpenVPN 2.6-k zifratzeak negoziatzen ditu data-ciphers bitartez, eta cipher AES-256-CBC lerro zaharra bakarrik duen profilek kontrol-kanala amaitu eta gero datuetan trabatu daiteke. Balio horrek esaten dizu fitxategia bat egiten ari zaren zerbitzariaren aurretik dagoen; 2.6ren eskuliburu-orrialdeak negoziazio-ordena zerrendatzen du operadoreari aipatu behar badiozu.

Fitxategi-izena gabeko auth-user-pass-k bezeroak galdetuko duela esan nahi du, beraz burujabea dirudien profilek ere kredentzialak behar ditu. auth-user-pass credentials.txt-k ziurrenik bidali ez dizuten fitxategia espero duela esan nahi du. nobind eta resolv-retry infinite arruntak eta kaltegabeak dira, eta explicit-exit-notify UDP soilik da eta alferrikakoa TCP bidez.

Horiek batek ere ez du aldatzen profila nora konektatzen den, baina bakoitzak aldatzen du ea konektatzen den, eta bat ere ez da ikusten bezeroaren inportazio-elkarrizketan.

Erabaki, eta gero idatzi zer erabaki duzun

Irakurketa honen ondoren hiru emaitza daude, eta bakarra da inportazioa. Muturra eta orratzak aparteko kanal batetik jasotako argibideekin bat datozenean, inportatu. Muturra zuzena dirudienean baina orratzak edo CA-a bat ez datozenean, eskatu zuzendutako fitxategia. Fitxategiak iturri ezberdinetako muturrak edo CA materia nahasten dituenean, ezabatu eta eskatu kopia berria.

Idatzi berrikusi duzun hash-a, hurrengo pertsonak fitxategia aldatu den jakin dezan: sha256sum profile.ovpn, zure oharretan muturraren ondoan itsatsita. Profila osotasuneko antolamendua da, ez helbide-zerrenda, beraz ez ezazu inoiz lanean dagoen remote bat beste baten konfiantza-blokean txertatu haren kredentzialak mantenduz.

Mantendu gako pribatuak eta pasahitzak pantaila-argazkietatik eta txat-harietatik kanpo oharrak alderatzen dituzun bitartean. Muturra eta sekretuak ez diren aukerak nahikoak dira galdera zehatza egiteko, eta gainerakoa fitxategian dagokio.

Inportatzen baduzu eta lehen saiakerak huts egiten badu, exekutatu bezeroa --verb 3-rekin eta irakurri lehen hamar lerroak: ebatzitako remote helbidea, negoziatutako proto-a eta TLS errorea ordena horretan agertzen dira, eta horrek esaten dizu goiko zein egiaztapen salto egin duzun.