Leibhéil script-security OpenVPN ó 0 go 3, agus a bhfuil gach ceann acu ag oscailt
Leathnaíonn gach leibhéal script-security a bhféadann próifíl a fhorghníomhú: ar dtús cúntóirí riaracháin, ansin scripteanna úsáideora, agus ar deireadh pasfhocail sa timpeallacht. Léigh na treoracha.
Iompórtáil próifíl i gcliant deisce agus is minic gurb é an chéad teip líne a dhiúltaíonn an cliant a urramú: crúca scripte nach rithfidh sé, nó luach script-security a mheasann sé a bheith ró-cheadaitheach. Má ardaíonn tú an uimhir imíonn an dialóg. Leathnaíonn sé freisin a bhféadann an phróifíl sin a fhorghníomhú ar do mheaisín, rud aisteach le deonú díreach chun rabhadh a dhúnadh. Lean an t-iompórtáil go dtí an treoir agus éiríonn an cinneadh nithiúil.
Ón dialóg iompórtála go dtí an treoir
Is comhad téacs le treoracha é an phróifíl, agus léann an cliant iad sula mbíonn aon tollán ann. Ainmníonn treoir ar nós up, down nó tls-verify clár seachtrach ar cheart do OpenVPN é a rith ag tráth socraithe. Is socrú ar leith é cé acu a bhfuil OpenVPN sásta é a rith, ar a dtugtar script-security, agus socraíonn an phróifíl é sin freisin de ghnáth.
Mar sin ní bhaineann an rabhadh le cripteagrafaíocht ná le teastais. Baineann sé le comhad cumraíochta a iarrann ar an gcliant rud éigin a fhorghníomhú ar an óstach, agus leis an gcliant ag seiceáil an gceadaíonn a leibhéal ceada reatha an t-iarratas sin.
Tá cuma na chéile ar dhá theip éagsúla ag an gcéim seo. Táirgeann próifíl a iarrann leibhéal nach dtabharfaidh an cliant diúltú. Táirgeann próifíl a iarrann leibhéal a thugann an cliant ach a bhfuil an scripte in easnamh di teip ag am rite ina ionad, agus measctar an dá rud i snáitheanna tacaíochta. Ceist cheada is ea ceann acu agus ceist phacáistithe is ea an ceann eile.
Cad a osclaíonn gach leibhéal i ndáiríre
Toirmisctear glaoite ar chláir sheachtracha go hiomlán ag leibhéal 0, rud atá comhleanúnach do chliant a chumraíonn a chomhéadan féin gan chúnamh agus neamh-chomhleanúnach do cheann a thugann aghaidh ar an gcóras oibriúcháin. Ceadaíonn leibhéal 1, an réamhshocrú, na feidhmchláir ionsuite a theastaíonn ó chumraíocht comhéadain agus bealaigh. Ní ritheann ceachtar leibhéal aon rud a sholáthair an t-úsáideoir.
| Level | What OpenVPN may execute | What it exposes |
|---|---|---|
| 0 | No external programs at all | Interface and route setup must not depend on helpers |
| 1 (default) | Built-in helpers such as ip, ifconfig, route or netsh | Privileged commands the platform already ships |
| 2 | Built-in helpers plus user-defined scripts | Whatever the named script does with the client's privileges |
| 3 | Everything above, plus passwords in environment variables | Credentials visible to child processes and their logs |
Is é leibhéal 2 an teorainn shuimiúil, mar admhaíonn sé scripteanna arna sainmhíniú ag an úsáideoir. Ón bpointe sin bíonn pribhléidí an chliaint i bhfeidhm ar chód nár léigh tú riamh b'fhéidir, a ghlaoitear ag chuimhneacháin nár roghnaigh tú, le timpeallacht ina bhfuil sonraí naisc. Téann leibhéal 3 níos faide agus ceadaíonn sé pasfhocail a sheoladh trí athróga timpeallachta, agus is mar sin a chuireann an lámhleabhar síos air mar rud a d'fhéadfadh a bheith neamhshábháilte.
Ní socrú neart aon cheann de na huimhreacha seo. Níl criptiú níos fearr ag próifíl ar leibhéal 3 ná ag ceann ar leibhéal 1; tá dromchla forghníomhaithe níos mó aici amháin, agus tá an tollán mar an gcéanna.
Socraigh cad is fiú don phróifíl
Fiafraigh cad chuige an scripte sula bhfiafraíonn tú cén leibhéal a theastaíonn uaidh. Is cúis dhlisteanach le rud éigin a rith é crúca a bhrúnn socruithe DNS nó a dheisíonn bealach tar éis nascadh. Is cúis le stopadh é crúca a ghlaonn dénártha anaithnid i bhfillteán sealadach.
Tá cosán na scripte chomh tábhachtach leis an scripte féin. Réitítear cosán coibhneasta i gcoinne cibé fillteán a úsáideann an cliant, agus iompaíonn fillteán inscribhithe iompórtáil aonuaire ina shliotán forghníomhaithe buan. Is iad cosáin iomlána i bhfillteán nach féidir leis an úsáideoir a mhodhnú an fhoirm is fearr a roghnú.
Faigheann scripteanna timpeallacht an chliaint le hoidhreacht freisin, áit a bhfuil dintiúirí agus meiteashonraí naisc. Is é an oidhreacht sin go díreach a dhéanann leibhéal 3 contúirteach in éineacht le scripte a logálann a timpeallacht, agus is é sin an fáth a bhfuil dara súil tuillte ag dump diagnóiseach ó chliant a bhfuil scripteanna cumasaithe aige sula gcuirtear i dticéad é. Bain an timpeallacht sula roinneann tú í.
grep -nE 'script-security|^up |^down |tls-verify' client.ovpnAthraigh rud amháin, agus breathnaigh ar an mbaint anuas freisin
Má theastaíonn scripte ón bpróifíl i ndáiríre, ná hathraigh ach an leibhéal agus gan ach don phróifíl sin. Rith an cliant sa tulra le haschur foclach ionas go mbeidh earráidí na scripte féin le feiceáil seachas iad a bheith slogtha ag bainisteoir seirbhíse.
openvpn --config client.ovpn --script-security 2 --verb 3
ip route show defaultTástáil an timthriall saoil iomlán, ní hamháin an nasc. Fágann crúca íslithe a theipeann bealaí ag díriú ar thollán marbh, rud a tháirgeann meaisín a bhfuil cuma nasctha air agus nach sroicheann aon rud. Athnasc uair amháin agus dínasc uair amháin sula nglactar an t-athrú críochnaithe, agus seiceáil an tábla ródaithe tar éis gach ceann.
Coinnigh cóip den phróifíl bhunaidh. Mura gcuireann cliant ardáin an tsamhail scripte chéanna i bhfeidhm, féadfaidh scriosadh treoracha go n-éireoidh leis an iompórtáil an comhtháthú DNS nó bealaigh a bhí ag teastáil ón tollán a bhaint, agus déanfaidh an nasc a thagann as fíordheimhniú go foirfe gan rud ar bith a réiteach.
Tá an cinneadh le taifeadadh cúng: cén scripte, ar cén cosán, ar cén leibhéal a deonaíodh, do cén phróifíl. Fanann gach rud eile sa phróifíl gan athrú, agus is abairt í sin ar féidir le hathbhreithneoir a sheiceáil.