Conas freastalaí phróifíl OpenVPN a fhíorú sula n-iompórtáiltear í

Seolann duine próifíl chugat, iompórtálann tú í, agus tríocha soicind ina dhiaidh sin tá cliant ag diailiú ceann scríbe nár sheiceáil éinne. Léigh an comhad in eagarthóir téacs ar dtús, mar tá gach a bhfuil tábhachtach suite i ndornán treoracha: remote, proto, port, ca, cert, tls-crypt agus verify-x509-name. Is réamhshocruithe iad an chuid eile, agus is ann a chónaíonn na iontais.

Liostaigh gach críochphointe is féidir leis an gcomhad a úsáid

Tosaigh leis na críochphointí, mar is féidir le próifíl amháin roinnt a choinneáil. Priontálann grep -nE '^[[:space:]]*(remote|proto|port|remote-random|connection)' profile.ovpn gach iarrthóir in ord an chomhaid, lena n-áirítear iad siúd atá neadaithe i mbloic <connection> inlíne.

Nuair a fhágann treoir an port ar lár, filleann an cliant ar réamhshocrú an éisteora, mar sin ciallaíonn remote vpn.example.com amháin port 1194 le cibé proto a thagann níos déanaí sa chomhad. Is roghanna eile iad roinnt línte remote simplí: triailfidh an cliant iad in ord mura gcuireann remote-random trí chéile iad, agus ní chuireann sé óstach oibreora eile ina n-ionad go ciúin riamh. Is é dhá líne remote ar fhearainn neamhghaolmhara an pointe a stopann tú agus a fhiafraíonn cé acu a bhí i gceist.

Tabhair faoi deara litriú proto freisin. Glactar le tcp mar chomhchiallach don tcp-client ar thaobh an chliaint, ach is earráid chumraíochta é tcp-server i bpróifíl chliaint a bhíonn ag crochadh seachas ag teip go glan.

Deimhnigh an t-ainm, ansin an port

Insíonn dig +short vpn.example.com duit an bhfuil an t-ainm ann agus cé na seoltaí a thugann sé ar ais, agus féadfaidh críochphointe ilseoladh nó taobh thiar de sheachfhreastalaí roinnt a thabhairt ar ais go dlisteanach. Is réamhchoinníoll é réiteach an ainm, ní cruthúnas úinéireachta; féadfaidh éinne ainm a dhíriú ar sheoladh, agus féadfaidh seoladh amháin freagra a thabhairt ar go leor ainmneacha.

Ansin seiceáil an t-éisteoir ar an port a fuair tú, ag teacht leis an iompar. Thar TCP priontálann openssl s_client -connect vpn.example.com:1194 -servername vpn.example.com an slabhra a chuireann an freastalaí i láthair. Thar UDP teastaíonn DTLS uait: ritheann openssl s_client -dtls1_2 -connect vpn.example.com:1194 an chomhchruthú céanna thar dhatagramanna. Cruthaíonn comhchruthú críochnaithe go bhfuil rud éigin ag éisteacht agus ag coinneáil teastais, rud is mó ná a thaispeánann ping agus is lú ná a éilíonn socruithe muiníne na próifíle féin.

Nuair a theipeann an comhchruthú agus freagraíonn an t-óstach do ping, is dócha go bhfuil an port mícheart nó scagtha. Caith le sin mar chúis leis an bport ceart a iarraidh, ní mar chuireadh chun na cinn in aice láimhe a scuabadh. Tuairiscíonn nc -vzu rath ar roinnt cruacha freisin gan aon rud ag éisteacht, mar sin ní chiallaíonn probe UDP lom aon rud gan comhchruthú taobh thiar de.

Léigh na bioráin mhuiníne ar leithligh ón seoladh

Socraíonn an seoladh cá dtéann an cliant; socraíonn an bloc muiníne cé a chreideann sé nuair a shroicheann sé. Ceanglaíonn verify-x509-name "vpn.example.com" name gnáthainm an tsubseabhóra, agus éilíonn remote-cert-tls server an úsáid fhadaithe eochrach le haghaidh fíordheimhniú freastalaí. Ba cheart go mbeadh an dá rud ag próifíl a thugann oibreoir duit.

Lorg ca, bloc <ca> inlíne, agus ceachtar tls-crypt nó tls-auth. Teastaíonn key-direction 1 ar an gcliant ó phróifíl a úsáideann tls-auth nuair a úsáideann taobh an fhreastalaí treo 0, agus teipeann mí-chomhoiriúnú ar an gcomhchruthú le earráid TLS a léitear mar locht teastais. Ciallaíonn CA inlíne nach mbaineann leis an oibreoir a ndearna tú a ainm a réiteach díreach anois gur cuireadh an comhad le chéile ó dhá fhoinse, agus sin an cás ar fiú é a dhiúltú amach is amach.

Glacann verify-x509-name le móid name, name-prefix nó subject, agus bíonn an ceann deireanach ag súil le hainm idirdhealaitheach iomlán san ord cruinn a phriontálann an freastalaí é. Roghnaigh mód a oireann do chruth an luacha, mar diúltaíonn an cliant gach nasc seachas rabhadh a thabhairt faoi bheagán ar éirigh. I gcás comhad nár scríobh tú féin, is é name le hóstainm lom an rogha is lú iontas.

Seiceáil na roghanna a theipeann go ciúin

Déanann OpenVPN 2.6 na sifirí a chaibidliú trí data-ciphers, agus féadfaidh próifíl nach bhfuil inti ach seanlíne cipher AES-256-CBC an cainéal rialaithe a chríochnú agus ansin stopadh ar shonraí. Insíonn léamh an luacha sin duit an bhfuil an comhad níos sine ná an freastalaí a bhfuil tú ag teacht leis; liostaíonn leathanach láimhleabhair 2.6 ord an chaibidlithe má theastaíonn uait é a lua leis an oibreoir.

Ciallaíonn auth-user-pass gan ainm comhaid go bhfiafraíonn an cliant, mar sin teastaíonn dintiúirí fós ó phróifíl a bhfuil cuma fhéinleor uirthi. Ciallaíonn auth-user-pass credentials.txt go bhfuil sé ag súil le comhad nár seoladh chugat, is dócha. Tá nobind agus resolv-retry infinite coitianta agus neamhdhíobhálach, agus níl explicit-exit-notify ach do UDP agus gan úsáid thar TCP.

Ní athraíonn aon cheann acu seo cá nascann an phróifíl, ach athraíonn gach ceann acu an nascann sí ar chor ar bith, agus ní fheictear aon cheann acu i ndialóg iompórtála an chliaint.

Socraigh, ansin taifead an méid a shocraigh tú

Tá trí thoradh ann tar éis an léitheoireachta seo, agus ní iompórtáil ach ceann amháin. Nuair a réitíonn an críochphointe agus na bioráin le treoracha a fuair tú trí chainéal ar leith, iompórtáil é. Nuair a fhéachann an críochphointe ceart ach nach réitíonn na bioráin nó an CA, iarr comhad ceartaithe. Nuair a mheascann an comhad críochphointí nó ábhar CA ó fhoinsí éagsúla, scrios é agus iarr cóip úr.

Taifead an hash a ndearna tú athbhreithniú air, ionas go mbeidh a fhios ag an gcéad duine eile ar athraigh an comhad: sha256sum profile.ovpn, greamaithe le taobh an chríochphointe i do nótaí. Is socrú iomlán í próifíl, ní liosta seoltaí, mar sin ná cuir remote oibre isteach i mbloc muiníne duine eile agus a ndintiúirí á gcoinneáil agat.

Coinnigh eochracha príobháideacha agus pasfhocail amach ó scáileánghrianghraif agus ó snáitheanna comhrá agus tú ag comparáid nótaí. Is leor an críochphointe agus na roghanna neamh-rúnda chun ceist bheacht a chur, agus baineann an chuid eile leis an gcomhad.

Má iompórtálann tú é agus má theipeann ar an gcéad iarracht, rith an cliant le --verb 3 agus léigh an chéad deich líne: tagann an seoladh remote réitithe, an proto caibidlithe agus an earráid TLS san ord sin, a insíonn duit cé acu de na seiceálacha thuas a scipeáil tú.