Wace OpenVPN ce a zahiri ke amfani da bayanan PiVPN naka?

PiVPN na rubuta saitin uwar garke da bayanan abokin ciniki, sannan ya fita; ba ya zama aikin da ke ɗaukar zirga-zirgarka. Saboda haka, gazawar musafaha, abokin ciniki da ke kira ƙarshen da bai dace ba, ko sabis da ya dawo ba daidai ba bayan sake kunnawa, ba za a iya bayyana su daga menu na mai sakawa ba. Waɗannan alamu na OpenVPN da ke gudana yanzu ne, da saitin da wancan ya loda a zahiri, da kuma log ɗin da aka nuna shi. Umarni huɗu na karatu kawai sukan warware wannan, kuma babu ɗayansu da ke canza takardun shaidarka ko makullanka.

Mai taimako da daemon abubuwa ne daban-daban

Rikicewar tana da sauƙin bayani: wani babban fayil yana riƙe da fayil ɗin da mai taimako ya ƙirƙira, fayil ɗin da daemon ke karantawa, kuma wani lokacin tsohon kwafi na duka biyun. Mai taimako script ne na samarwa. Yana shigar da fakiti, yana rubuta fayilolin unit kuma yana buga bayanan abokin ciniki, sannan aikinsa ya ƙare. Abin da ya rage shi ne shigarwa a cikin mai kula da sabis da layin umarni.

A kan systemd host, fara daga unit ɗin da ke aiki maimakon jerin babban fayil. Sunan ya dogara da fakiti: hotunan Debian da Raspberry Pi OS sukan nuna kwafin samfuri kamar openvpn-server@server, yayin da tsofaffin shigarwa ke amfani da openvpn@server. Tambayi mai kula wanene ke gudana maimakon yin hasashe daga sunan fayil.

systemctl list-units --type=service --all | grep -i openvpn
systemctl cat openvpn-server@server

Karanta ExecStart= a cikin wannan fitarwa. Yana ambaton fayil ɗin da ake aiwatarwa da zaɓuɓɓukan da mai kula ke farawa a zahiri, gami da kowane --config hanya; fayil ɗin saitin da ke kusa wanda babu umarni da ke magana da shi ba ya cikin ramin da ke gudana.

Bi sarkar saitin da daemon ya warware

OpenVPN ba ya duba babban fayil don neman saituna. Yana karanta fayil ɗin da aka ba shi da --config, yana bin kowane config umarni a cikinsa, sannan yana amfani da zaɓuɓɓukan layin umarni. Littafin jagora na 2.6 ya bayyana wannan tsari, kuma yana da muhimmanci sa'ad da fayiloli biyu ba su yarda ba kan tashar, na'urar ko ɓoyewa.

Fitar da ainihin kiran farko, sannan ka duba umarnin da ke ƙayyade asali da isa. Duk umarnin biyu na karatu ne kawai kuma suna da aminci a kan uwar garke mai rai, ko da kuwa na biyu yana buga hanyoyin da wataƙila ba ka so a cikin tikit na jama'a.

systemctl show -p ExecStart --value openvpn-server@server
grep -E '^(config|dev|proto|port|local|log|log-append|status|ca|cert|key|tls-auth|tls-crypt)' /etc/openvpn/server/server.conf

Fayil ɗin .ovpn da ke cikin babban fayil na gida kayan aikin abokin ciniki ne. Daemon na uwar garke ba ya taɓa karanta shi, don haka gyara wannan fayil don magance gazawar musafaha a bangaren uwar garke ba ya cim ma komai.

Haɗawa ita ce wata tarko. Layin config yana jawo wani fayil na biyu wanda aka sarrafa zaɓuɓɓukansa a wannan wuri, don haka wani umarni na ƙima ɗaya daga baya zai iya wuce abin da babban fayil ɗin yake kama da faɗa. Idan fayil ɗin da ake gani ya yi kama da daidai amma daemon ɗin har yanzu yana yin wata daban, karanta fayil ɗin da aka haɗa kafin ka canza komai.

Daidaita log ɗin da aikin, ba da kuskuren da kake tunawa ba

Wurare biyu na log sun zama ruwan dare, kuma ɗaya ne kawai daga cikinsu journal ɗin. Tare da log-append da aka saita, daemon yana rubutu a wannan fayil kuma journal ɗin ba ya riƙe da yawa fiye da layukan farawa. Idan babu shi, journalctl shine tushen abubuwan da suka faru.

journalctl -u openvpn-server@server -n 80 --no-pager

Haɗa ƙoƙarin haɗi ɗaya da taga lokaci ɗaya. Yi lura da ƙarshen abokin ciniki, sannan karanta abubuwan da suka faru a uwar garke daga waɗannan sakan. Musafahar TLS da ba ta taɓa isa musayar takardar shaida tana nuna isa ko rashin daidaiton yarjejeniya, yayin da ƙin tabbatarwa ke zuwa bayan an riga an amince da sigogin ramin.

Tsohon shigarwar log ba ya tabbatar da komai game da bayanan da ka zazzage minti biyar da suka wuce. Sake ƙirƙirar fayil ɗin abokin ciniki, haɗa sau ɗaya, kuma karanta layukan da suka bayyana a wancan ƙoƙari kawai.

Rubuta gazawar ta farko takamaimai maimakon ta ƙarshe gama gari. Kuskuren ɗaure, musayar waje marar amsa, ƙin takardar shaida da ƙin asusu kowanne yana tura ka wani matakin daban, kuma ƙarewar lokaci a ƙarshe yakan ɓoye abin da ya faru mai amfani a sama.

Sake gina ramin ba matakin bincike ba ne

Hanyar gajeriyar da ke jaraba ita ce a kafa wani rami na biyu mafi sauƙi: maɓalli na tsaye, babu takardun shaida, babu ƙarin tabbatarwa. Zai yawan haɗawa, kuma yana tabbatar da cewa hosts biyu za su iya wuce UDP ko TCP a tsakaninsu kawai. Ba ya faɗin komai game da dalilin da ya sa turawar da aka tabbatar da takardar shaida ke gazawa, kuma yana maye gurbin tsarin tsaro da aka ce ka riƙe a hankali.

Haka ma game da kashe tls-auth ko tls-crypt, sassauta verify-x509-name, ko watsi da wani abu na biyu don samun matsayi kore. Ramin da ke haɗawa saboda an cire tabbatarwa tsari ne daban, ba wanda aka gyara ba.

Yi canji ɗaya mai iyaka a matakin da log ɗin ya ambata, sake kunna wannan unit ɗin, kuma maimaita ƙoƙarin haɗi ɗaya. Wannan yana kiyaye kwatancen da gaskiya, kuma yana barin canjin da za ka iya juyawa.

Abin da za ka ba mutum na gaba

Rubuta abubuwa huɗu yayin da kake da su: sigar OpenVPN daga openvpn --version, unit ɗin da ke aiki, sarkar saitin tare da haɗawa, da tagar log da ta rufe ƙoƙari ɗaya. Waɗannan huɗun suna mai da ƙarar da ba bayyananne ba zuwa shari'ar da za a iya maimaitawa.

Cire bayanan sirri kafin rabawa. Makullan sirri, auth-user-pass fayiloli, kayan maɓalli na tsaye da cikakkun fakitin abokin ciniki ba su da wuri a tikit; sunayen zaɓi da siffar sarkar yawanci sun isa ga wani ƙarin ido.

Idan sarkar tana lafiya kuma log ɗin har yanzu yana nuni ga hanyar sadarwa, mataki na gaba shine hanyar tsakanin abokin ciniki da uwar garke maimakon wata shigarwa. Wannan shine ɓangaren labarin da mai taimako bai taɓa mallaka ba.