Yadda za a tabbatar da uwar garken bayanan OpenVPN kafin shigar da shi

Wani ya aiko maka da bayanan martaba, ka shigar da shi, bayan dakika talatin sai wani abokin ciniki yana kira zuwa wani wuri da babu wanda ya bincika. Da farko karanta fayil din a editan rubutu, domin duk abin da ke da muhimmanci yana cikin yan umarni kadan: remote, proto, port, ca, cert, tls-crypt da verify-x509-name. Sauran duk tsoffin dabi'u ne, kuma abubuwan mamaki suna zaune a can.

Lissafa kowane wurin karshe da fayil din zai iya amfani da shi

Fara da wuraren karshe, domin bayanai daya na iya daukar da yawa. grep -nE '^[[:space:]]*(remote|proto|port|remote-random|connection)' profile.ovpn yana buga kowane dan takara a tsarin fayil din, har da wadanda ke cikin rukunin <connection> na ciki.

Lokacin da umarni ya bar tashar jiragen ruwa, abokin ciniki yana komawa ga tsohon kimar mai sauraro, don haka remote vpn.example.com shi kadai yana nufin tashar 1194 tare da duk wani proto da ya bayyana daga baya a fayil din. Yawancin layukan remote na yau da kullum madadin ne: abokin ciniki yana gwada su a tsari sai dai idan remote-random ya gauraye su, kuma ba ya taba maye gurbin uwar garken wani mai aiki a boye. Layukan remote biyu a yankuna da ba su da alaka shi ne wurin da za ka tsaya ka tambaya wanne ake nufi.

Ka lura da rubutun proto kuma. Ana karbar tcp a matsayin ma'anar tcp-client na gefen abokin ciniki, amma tcp-server a cikin bayanan abokin ciniki kuskure ne na tsari wanda yakan rataye maimakon ya gaza da tsabta.

Tabbatar da sunan, sannan tashar jiragen ruwa

dig +short vpn.example.com yana gaya maka ko sunan yana nan da wadanne adireshi yake dawowa, kuma wurin karshe mai adireshi da yawa ko bayan wakili na iya dawowa da yawa bisa doka. Warware suna sharadi ne, ba hujjar mallaka ba; kowa zai iya nuna suna zuwa adireshi, kuma adireshi daya na iya amsa don sunaye da yawa.

Sannan duba mai sauraro a tashar da ka samo, daidai da layin jigilar bayanai. A kan TCP openssl s_client -connect vpn.example.com:1194 -servername vpn.example.com yana buga sarkar da uwar garken ke gabatarwa. A kan UDP kana bukatar DTLS: openssl s_client -dtls1_2 -connect vpn.example.com:1194 yana gudanar da wannan musafaha a kan datagram. Kammalallen musafaha yana tabbatar da cewa wani abu yana sauraro kuma yana rike da takardar shaida, wanda ya fi abin da ping ke nunawa kuma bai kai abin da saitunan amincewar bayanan martaba ke bukata ba.

Lokacin da musafaha ya gaza kuma uwar garken yana amsa ping, tashar ta yi kuskure ko an tace ta. Ka dauke shi a matsayin dalilin neman madaidaiciyar tashar, ba gayyata don share na kusa ba. nc -vzu kuma yana bayar da rahoton nasara a wasu taruka ba tare da wani abu yana sauraro ba, don haka binciken UDP kawai ba ya nufin komai ba tare da musafaha a bayansa ba.

Karanta filin amincewa dabam da adireshi

Adireshi yana yanke hukuncin inda abokin ciniki zai je; rukunin amincewa yana yanke hukuncin wanda zai yarda da shi bayan ya isa. verify-x509-name "vpn.example.com" name yana lika sunan gama gari na batun, kuma remote-cert-tls server yana bukatar amfani da maballi mai fadada don tabbatar da uwar garken. Bayanan da mai aiki ya ba ka ya kamata su dauki duka biyun.

Nemo ca, rukunin <ca> na ciki, da ko tls-crypt ko tls-auth. Bayanan da ke amfani da tls-auth suna bukatar key-direction 1 a kan abokin ciniki lokacin da gefen uwar garken ke amfani da alkibla 0, kuma rashin daidaituwa yana sa musafaha ya gaza da kuskuren TLS wanda ake karantawa kamar lahani na takardar shaida. CA na ciki wanda ba na mai aikin da ka warware sunansa yanzu ba yana nufin an hada fayil din daga mabubbuka biyu, kuma wannan shi ne yanayin da ya cancanta a ki shi gaba daya.

verify-x509-name yana karbar yanayin name, name-prefix ko subject, kuma na karshe yana tsammanin cikakken suna mai banbanta a daidai tsarin da uwar garken ke bugawa. Zabi yanayin da ya dace da siffar kimar, domin abokin ciniki yana kin kowace hadi maimakon yin gargadi game da kusan samu. Ga fayil din da ba ka rubuta ba, name da sunan uwar garke mai sauki shine zabi mafi karancin mamaki.

Duba zabubbukan da ke gazawa a boye

OpenVPN 2.6 yana tattaunawa kan sirrin rubutu ta hanyar data-ciphers, kuma bayanan da ke dauke da tsohon layin cipher AES-256-CBC kawai na iya kammala tashar sarrafawa sannan ya tsaya a kan bayanai. Karanta wannan kimar yana gaya maka ko fayil din ya riga ya wuce uwar garken da kake shiga; shafin jagora na 2.6 yana lissafa tsarin tattaunawa idan kana bukatar ka ambata wa mai aiki.

auth-user-pass ba tare da sunan fayil ba yana nufin abokin ciniki zai tambaya, don haka bayanan da suka yi kama da sun isa suna bukatar takardun shiga. auth-user-pass credentials.txt yana nufin yana tsammanin fayil din da watakila ba a aiko maka ba. nobind da resolv-retry infinite na yau da kullum ne kuma marasa lahani, yayin da explicit-exit-notify na UDP ne kawai kuma ba shi da amfani a kan TCP.

Babu daya daga cikin wadannan da yake canza inda bayanan ke hadawa, amma kowanne yana canza ko zai hada kwata-kwata, kuma babu daya da ake gani a tattaunawar shigo da abokin ciniki.

Yanke shawara, sannan rubuta abin da ka yanke

Bayan wannan karatu akwai sakamako uku, kuma daya ne kawai shigo da shi. Lokacin da wurin karshe da filaye suka dace da umarnin da ka samu ta wata hanya dabam, shigar da shi. Lokacin da wurin karshe ya yi kama da daidai amma filaye ko CA ba su dace ba, nemi gyaggyararren fayil. Lokacin da fayil din ya hada wuraren karshe ko kayan CA daga mabubbuka daban-daban, share shi ka nemi sabon kwafi.

Rubuta hash din da ka duba, domin na gaba ya san ko fayil din ya canza: sha256sum profile.ovpn, manne kusa da wurin karshe a cikin bayananka. Bayanan martaba tsarin gaba daya ne, ba jerin adireshi ba, don haka kada ka taba hada remote mai aiki cikin rukunin amincewar wani tare da barin takardunsa na shiga.

Ka ajiye maballan sirri da kalmomin shiga nesa da hotunan allo da zaren tattaunawa yayin da kake kwatanta bayanai. Wurin karshe da zabubbukan da ba sirri ba sun isa yin takamaiman tambaya, sauran kuma wurinsu a cikin fayil din.

Idan ka shigar da shi kuma kokari na farko ya gaza, gudanar da abokin ciniki da --verb 3 ka karanta layi goma na farko: adireshin remote da aka warware, proto da aka tattauna da kuskuren TLS suna bayyana a wannan tsari, wanda ke gaya maka wane bincike daga sama ka tsallake.