Fergelykje twa OpenVPN-profylen sûnder kaaien te lekken

In tekst-diff kin ynline kaaien like maklik bleatlegge as dat er in feroare rjochtline toant. Fergelykje op rol op beskerme kopyen, en meitsje dan in apart redigearre diagnostysk bestân.

Twa profylen, ien ferbynt en ien net, en de flugge manier om te sjen wêrom is in diff. It probleem is dat deselde diff de ynline priveekaai, de statyske kaai en elk oanmeldblok dat it bestân draacht printsje, en minsken plakke de útfier yn in petear foardat se it merke. Beslute wat jo fergelykje komt foar it útfieren fan it kommando. Fergelykje struktuer en rollen op beskerme kopyen, en bou in apart redigearre bestân as in oar it sjen moat.

Wat in .ovpn-bestân eins draacht

In .ovpn-bestân is in konfiguraasje mei opsjonele ynline blokken. It kin in CA-sertifikaat, in kliïntsertifikaat, in priveekaai, in tls-auth of tls-crypt-kaai, en rjochtlinen befetsje dy't nei eksterne bestannen wize of om oanmeldgegevens freegje. Twa bestannen kinne hast itselde lykje en allinnich binnen in blok ferskille, of yn ien rjochtline dy't it ferfier folslein feroaret. It oantal rigels seit jo neat oer wat dêrfan barde.

In ferskil binnen in kaai-blok is gjin iepenbier bewiis fan wat dan ek. In opnij útjûn sertifikaat en ien mei in nije kaai kinne deselde foarm feroaring jouwe, dus it blokferskil seit dat it materiaal oars is, net hokker beslút it makke hat. Behannelje it as in sinjaal om fjilden te fergelykjen, net as in befining.

Fergelykje op rol, net op rigel

Folgje de eigen oarder fan 'e ferbining: earst it einpunt en it ferfier, dan fertrouwen en ferwachte identiteit, dan brûkersautentikaasje, dan rûtes, DNS en skriptheakken. Dy folchoarder komt oerien mei wat de kliïnt docht, dus it earste ferskil dat jo treffe is it earste ding dat de ferbining brekke kinnen hie. Alfabetysk fergelykje smyt besibbe ynstellings oer de hiele útfier ynstee.

In fjildbewuste trochgong sjocht dizze items, yn dy oarder. Alles dêr't de kliïnt ynteraktyf om freget heart by de autentikaasjerige, net by de fertrouwensrigels.

  • remote, proto en poarte, ynklusyf elk ferbiningsblok.
  • ca en cert: útjouwer, ûnderwerp en ferfaldatum.
  • Oft der hielendal in priveekaai is, nea wat dy befettet.
  • tls-auth of tls-crypt-oanwêzigens en kaairjochting.
  • Autentikaasjerjochtlinen, ynklusyf elke ferwizing nei in oanmeldbestân.
  • Rûtes, DNS-opsjes en skriptheakken dy't rinne by it ferbinen.

As in bestân ferskate ferbiningsblokken hat, hâld dan elke opsje by syn einpunt. Allinnich de earste remote-rigel fergelykje kin it alternative misse dat de kliïnt op dit netwurk eins kiest.

Wêrom't in gewoane diff it ferkearde ark is

In gewoane diff is boud foar tekst, net foar geheim. It sil mar graach in priveekaai yn 'e weromrôle printsje, en it sil jo net sizze dat de rjochtline dêr't jo nei stoarje net relevant is foar de flater. Fjildekstraksjes binne tagelyk feiliger en lêsberder, om't sertifikaatmateriaal as metadatums fergelike wurde kin ynstee fan bytes.

openssl x509 -in ca.crt -noout -subject -issuer -enddate
openssl x509 -in client.crt -noout -subject -issuer -enddate
grep -E '^(remote|proto|port|tls-auth|tls-crypt|route|dhcp-option)' profile.ovpn

De earste twa kommando's printsje identiteit en jildigens sûnder de kaai oan te reitsjen, dus har útfier is feilich om te plakken. De grep printsjet rjochtlinenammen en wearden mar nea de bloklichems, wat it de krekte earste trochgong makket as jo in ferfier- of rûteferskil fermoedzje. As in blok sels fergelike wurde moat, fergelykje syn hash ynstee fan 'e ynhâld.

Bou in redigearre kopy foar it ticket

Ferwiderje echte geheim en ûnnedige identifisearders wylst jo fjildnammen en genôch struktuer hâlde om it ferskil út te lizzen. In marker fan deselde foarm ferklapt noch altyd wêr't it materiaal sit en hoe lang't it wie, dus beslute oft sels dat akseptabel is. Kontrolearje de lêste taheaksel sels ynstee fan it kommando te fertrouwen dat jo jo herinnere útfierd te hawwen. Bewurkje it wurkjende orizjineel net allinnich om in foarbyld te meitsjen, om't in redigearre profyl net needsaaklik útfierber is en nea wer ymportearre wurde moat.

Hâld de orizjinelen werkenber op bestânsnamme en hash ynstee fan se yn trije mappen mei like namme te kopyen. In hash-string is genôch om te bewizen hokker bestân besjoen is en kostet neat as er lekt. Snuorje de kopyen nei't de feroaring sletten is, sadat de folgjende persoan ien gesachhawwende bestân erft.

Hâld de fergeliking oan in flater bûn

In fergeliking fertsjinnet syn kosten as er in fraach beantwurdet oer ien ymport of ien ferbiningsflater. Neam earst de stap dy't mislearret, fergelykje dan allinnich de fjilden dêr't dy stap fan ôfhinget; alle oanmeldgegevens fan 'e kliïnt yn ien map sammelje makket it folgjende lek wierskynliker en de folgjende diagnose stadiger. Hoe nauwer de fraach, hoe koarter de list fan fjilden dy't it beantwurdzje kinne.

As in nij bestân fan 'e operator kaam, befêstigje dan syn distribúsjerûte foardat jo fertrouwensmateriaal ferfange. Nei de feroaring, ynspektearje de ymportearre kopy dy't de kliïnt eins keas en it úthannele resultaat, om't in rjochtline negearre of oars lêzen wurde kin troch in oare kliïntferzje. It bestân op skiif is gjin bewiis fan 'e ferbining dy't rûn. De semantyk fan 'e rjochtlinen stiet yn 'e OpenVPN 2.6-hantlieding.

Relatearre artikelen