یک پروفایل VPN تحویل‌شده چه چیزی را روی دستگاه شما می‌تواند تغییر دهد
پروفایل مجموعه‌ای از دستورها به یک کلاینت است که می‌تواند ترافیک را تغییر مسیر دهد و اعتماد اضافه کند. پیش از نوشتن گذرواژه در آن، بخوانید چه چیزی می‌خواهد.
تحویل دادن یک پروفایل VPN به کلاینتتان یعنی دادن تنظیماتی که شخص دیگری نوشته است و آن برنامه سپس آن‌ها را روی دستگاه شما اجرا می‌کند. وارد کردن آن می‌تواند تغییر دهد که ترافیک پوشش‌داده‌شده کجا برود، دستگاه شما به کدام همتا اعتماد کند و در برخی قالب‌ها کدام برنامه‌های محلی هنگام بالا آمدن تونل اجرا شوند. فایل یک نشانک نیست؛ یک برنامه کوچک در قالبی اعلانی است.
آن را همان‌طور بخوانید که یک اسکریپت پوسته از همان منبع را می‌خواندید.
کلاینت آن را تفسیر می‌کند، نه شما
هر فیلد در فایل یک دستور به کلاینتی مشخص است. نقطه پایانی و پروتکل تعیین می‌کنند تونل کجا می‌رود، بلوک احراز هویت تعیین می‌کند چه رازی خواسته می‌شود و دستورهای مسیر تعیین می‌کنند چه چیزی وارد آن می‌شود. گواهی‌ها یا کلید خصوصی می‌توانند به‌صورت بلوک جاسازی شوند نه اینکه به‌صورت فایل ارجاع داده شوند، و به همین دلیل یک فایل متنی گاهی همه چیزِ لازم برای جا زدن خود به‌جای شما در برابر یک دروازه را حمل می‌کند. همین ویژگی است که اشتراک‌گذاری معمولی فایل را این‌قدر خطرناک می‌کند.
پروفایل‌های OpenVPN می‌توانند قلاب‌های اسکریپت، مسیرهای افزونه و سطح امنیتی‌ای را هم حمل کنند که تعیین می‌کند آیا این قلاب‌ها اجازه اجرا دارند یا نه. همین ترکیب است که یک پروفایل ناآشنا را ارزش خواندن خط‌به‌خط می‌سازد، نه دوبار کلیک کردن روی آن. کلاینت دقیقاً همان کاری را می‌کند که فایل می‌گوید، و آن را با دسترسی‌های شما انجام می‌دهد.
تغییرهای مسیریابی پس از یک اتصال دیده می‌شوند
پروفایل تونل کامل مسیرهایی نصب می‌کند که همه چیز را از دروازه می‌فرستند، در حالی که پروفایل تونل شکافته فقط پیشوندهای انتخاب‌شده را می‌فرستد. برخی پروفایل‌ها یک سرور DNS را هم هل می‌دهند، که بی‌صدا تغییر می‌دهد چه کسی درخواست‌های شما را می‌بیند. هیچ‌کدام از این‌ها به‌خودی‌خود بدخواهانه نیست، و هیچ‌کدام از روی نام فایل آشکار نیست.
جدول مسیریابی را پیش و پس از نخستین اتصال مقایسه کنید تا نیت را با یک نگاه ببینید. پروفایلی که به‌عنوان دسترسی به یک برنامه داخلی معرفی شده اما مسیر پیش‌فرض گسترده‌تری نصب می‌کند، چیزی درباره نویسنده‌اش به شما می‌گوید.
مواد اعتماد و قلاب‌ها وزن واقعی را حمل می‌کنند
یک پروفایل می‌تواند اطلاعات اعتماد را به کلاینت VPN بدهد، و یک بسته پیکربندی پلتفرم می‌تواند جلوتر برود و گواهی یا ریشه‌ای را در مخزن سیستم نصب کند. این‌ها دامنه‌های متفاوتی با پیامدهای متفاوت هستند. حالت در دامنه کلاینت بر اعتبارسنجی یک برنامه اثر می‌گذارد؛ حالت در سطح سیستم بر هر چیزی که از مخزن اعتماد پلتفرم استفاده می‌کند اثر می‌گذارد.
قلاب‌های اسکریپت و افزونه‌ها نیمه دیگر هستند. دستوری که هنگام اتصال فرمانی اجرا می‌کند، یا افزونه‌ای که در فرایند کلاینت بارگذاری می‌شود، دسترسی‌های شما را دارد و هیچ چیز از جداسازی کلاینت را ندارد. اگر پروفایلی که درخواست نکرده‌اید چنین چیزی داشته باشد، این پرسشی است برای کسی که آن را فرستاده است.
هیچ‌یک از این دو دسته به‌طور خودکار خصمانه نیست. استقرارهای سازمانی از هر دو استفاده می‌کنند. نکته این است که هر یک توضیحی می‌خواهد که بتوانید بررسی کنید.
منبع را بررسی کنید، سپس راز را وارد کنید
تعیین کنید چه کسی فایل را از کانالی که از قبل به آن اعتماد دارید صادر کرده، نه از طریق پیامی که آن را رسانده است. جزئیات نقطه پایانی و گواهی را با مستندات منتشرشده اپراتور مقایسه کنید. اگر پروفایلی بدون درخواست رسیده، یکی تازه را مستقیماً از اپراتور بگیرید نه اینکه نسخه تحویل‌شده را تعمیر کنید. بپرسید اپراتور کدام نسخه کلاینت را پشتیبانی می‌کند، چون همان فایل می‌تواند توسط کلاینت دیگری متفاوت تفسیر شود.
grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -datesهرگز گذرواژه‌ای را در فیلدی توضیح‌داده‌نشده نگذارید تا ببینید کار می‌کند یا نه، و هرگز درخواست دسترسی ناآشنایی را فقط برای تمام کردن یک ورود نپذیرید. یک اتصال موفق اثبات می‌کند که نقطه پایانی پاسخ داده، نه بیشتر.
نسخه واردشده را بردارید، نه دانلود را
کلاینت‌ها پروفایل را در مخزن خودشان کپی می‌کنند، بنابراین پاک کردن فایل دانلودشده اتصال واردشده را فعال باقی می‌گذارد. آن را از طریق رابط خود کلاینت بردارید و بررسی کنید گواهی‌ای که هنگام ورود افزوده شده هم رفته باشد. سپس تأیید کنید مسیرهایی که نصب کرد هم رفته باشند.
اگر گواهی‌ای در سطح سیستم نصب شده باشد، برداشتن پروفایل کافی نیست. آن پاک‌سازی به مدیریت اعتماد پلتفرم تعلق دارد و ارزش دارد آگاهانه انجام شود، نه اینکه امیدوار باشید راه‌اندازی دوباره بعدی آن را حل کند.