Que pode cambiar un perfil VPN entregado no teu dispositivo

Entregar ao teu cliente un perfil VPN é entregarlle unha configuración escrita por outra persoa, que ese programa executa despois na túa máquina. Importalo pode cambiar por onde vai o tráfico cuberto, en que par confía o teu dispositivo e, nalgúns formatos, que programas locais se executan cando se ergue o túnel. O ficheiro non é un marcador; é un pequeno programa nun formato declarativo.

Léoo como lerías un script de shell da mesma orixe.

Interprétao o cliente, non ti

Cada campo do ficheiro é unha instrución para un cliente concreto. O extremo e o protocolo deciden por onde vai o túnel, o bloque de autenticación decide que segredo se esixe e as directivas de ruta deciden que entra nel. Os certificados ou unha clave privada poden ir incrustados como bloques en lugar de referenciados como ficheiros, e por iso un só ficheiro de texto ás veces leva todo o necesario para suplantarte ante unha pasarela. Esa propiedade é a que fai tan perigoso compartir ficheiros sen máis.

Os perfís de OpenVPN tamén poden levar ganchos de script, rutas de complementos e un nivel de seguridade que determina se eses ganchos poden executarse. Esa combinación é o que fai que un perfil descoñecido mereza lerse liña por liña en vez de facer dobre clic. O cliente fará exactamente o que diga o ficheiro, e faráo cos teus privilexios.

Os cambios de encamiñamento vense tras unha conexión

Un perfil de túnel completo instala rutas que o envían todo pola pasarela, mentres que un perfil de túnel dividido só envía prefixos seleccionados. Algúns perfís tamén empurran un servidor DNS, o que cambia en silencio quen ve as túas consultas. Nada diso é malicioso por si mesmo, e nada diso é evidente polo nome do ficheiro.

Compara a táboa de encamiñamento antes e despois da primeira conexión e verás a intención dun vistazo. Un perfil anunciado como acceso a unha soa aplicación interna pero que instala unha ruta predeterminada máis ampla está a dicirche algo sobre o seu autor.

O material de confianza e os ganchos son o que de verdade pesa

Un perfil pode fornecer información de confianza ao cliente VPN, e un paquete de configuración de plataforma pode ir máis lonxe e instalar un certificado ou unha raíz nun almacén do sistema. Son ámbitos distintos con consecuencias distintas. O caso no ámbito do cliente afecta a validación dunha aplicación; o caso no ámbito do sistema afecta todo o que usa o almacén de confianza da plataforma.

Os ganchos de script e os complementos son a outra metade. Unha directiva que executa un comando ao conectar, ou un complemento cargado no proceso do cliente, ten os teus permisos e nada do illamento do cliente. Se un perfil que non pediches contén un, é unha pregunta para quen cho enviou.

Ningunha das dúas categorías é automaticamente hostil. Os despregamentos corporativos usan ambas. O punto é que cada unha esixe unha explicación que poidas comprobar.

Verifica a procedencia e logo introduce o segredo

Establece quen emitiu o ficheiro por unha canle na que xa confías, non pola mensaxe que o entregou. Compara os datos do extremo e do certificado coa documentación publicada polo operador. Se un perfil chegou sen pedilo, obtén un novo directamente do operador en lugar de reparar a copia que che deron. Pregunta que versión de cliente admite o operador, porque outro cliente pode interpretar o mesmo ficheiro de forma distinta.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

Nunca poñas un contrasinal nun campo non explicado para ver se funciona, e nunca aceptes unha solicitude de privilexios descoñecida só por rematar unha importación. Unha conexión correcta demostra que o extremo respondeu, e nada máis.

Elimina a copia importada, non a descarga

Os clientes copian o perfil no seu propio almacén, así que borrar o ficheiro descargado deixa activa a conexión importada. Elimínaa desde a interface do propio cliente e comproba que tamén desapareceu calquera certificado engadido durante a importación. Despois confirma que as rutas que instalou tamén desapareceron.

Se se instalou un certificado a escala de sistema, eliminar o perfil non abonda. Esa limpeza corresponde á xestión de confianza da plataforma, e paga a pena facela a propósito en vez de esperar que o próximo reinicio se encargue dela.