सौंपा गया VPN प्रोफ़ाइल आपके डिवाइस पर क्या बदल सकता है

अपने क्लाइंट को VPN प्रोफ़ाइल सौंपना उसे किसी और का लिखा कॉन्फ़िगरेशन सौंपना है, जिसे वह प्रोग्राम फिर आपकी मशीन पर चलाता है। इसे आयात करने से बदल सकता है कि कवर किया गया ट्रैफ़िक कहाँ जाता है, आपका डिवाइस किस साथी पर भरोसा करता है, और कुछ फ़ॉर्मैट में कि टनल उठते समय कौन से स्थानीय प्रोग्राम चलते हैं। फ़ाइल बुकमार्क नहीं है; यह घोषणात्मक फ़ॉर्मैट में एक छोटा प्रोग्राम है।

इसे वैसे ही पढ़ें जैसे आप उसी स्रोत से आई शेल स्क्रिप्ट पढ़ते।

इसे क्लाइंट समझता है, आप नहीं

फ़ाइल का हर फ़ील्ड किसी विशेष क्लाइंट के लिए निर्देश है। एंडपॉइंट और प्रोटोकॉल तय करते हैं कि टनल कहाँ जाती है, प्रमाणीकरण ब्लॉक तय करता है कि कौन सा रहस्य माँगा जाता है, और रूट निर्देश तय करते हैं कि उसमें क्या प्रवेश करता है। प्रमाणपत्र या निजी कुंजी फ़ाइलों के रूप में संदर्भित होने के बजाय ब्लॉक के रूप में अंतर्निहित हो सकते हैं, और इसीलिए एक टेक्स्ट फ़ाइल कभी-कभी किसी गेटवे के सामने आपका रूप धारण करने के लिए ज़रूरी सब कुछ ले जाती है। यही गुण साधारण फ़ाइल साझा करने को इतना ख़तरनाक बनाता है।

OpenVPN प्रोफ़ाइल स्क्रिप्ट हुक, प्लगइन पथ और एक सुरक्षा स्तर भी ले जा सकती हैं जो तय करता है कि वे हुक चल सकते हैं या नहीं। यही संयोजन किसी अपरिचित प्रोफ़ाइल को डबल-क्लिक करने के बजाय पंक्ति दर पंक्ति पढ़ने लायक बनाता है। क्लाइंट ठीक वही करेगा जो फ़ाइल कहती है, और वह इसे आपके विशेषाधिकारों के साथ करेगा।

रूटिंग परिवर्तन एक कनेक्शन के बाद दिखते हैं

फ़ुल-टनल प्रोफ़ाइल ऐसे रूट स्थापित करती है जो सब कुछ गेटवे से भेजते हैं, जबकि स्प्लिट-टनल प्रोफ़ाइल केवल चुने हुए प्रीफ़िक्स भेजती है। कुछ प्रोफ़ाइल DNS सर्वर भी धकेलती हैं, जो चुपचाप बदल देता है कि आपकी क्वेरी कौन देखता है। इनमें से कुछ भी अपने आप में दुर्भावनापूर्ण नहीं है, और इनमें से कुछ भी फ़ाइल के नाम से स्पष्ट नहीं है।

पहले कनेक्शन से पहले और बाद में रूटिंग तालिका की तुलना करें और आप एक नज़र में मंशा देख लेंगे। एक आंतरिक ऐप तक पहुँच के रूप में विज्ञापित लेकिन व्यापक डिफ़ॉल्ट रूट स्थापित करने वाली प्रोफ़ाइल अपने लेखक के बारे में कुछ बताती है।

भरोसे की सामग्री और हुक ही असली भार उठाते हैं

एक प्रोफ़ाइल VPN क्लाइंट को भरोसे की जानकारी दे सकती है, और प्लेटफ़ॉर्म कॉन्फ़िगरेशन पैकेज आगे जाकर सिस्टम स्टोर में प्रमाणपत्र या रूट स्थापित कर सकता है। ये अलग-अलग दायरे हैं अलग-अलग परिणामों के साथ। क्लाइंट-दायरे वाला मामला एक ऐप के सत्यापन को प्रभावित करता है; सिस्टम-व्यापी मामला उस सब को प्रभावित करता है जो प्लेटफ़ॉर्म के भरोसा स्टोर का उपयोग करता है।

स्क्रिप्ट हुक और प्लगइन दूसरा आधा हिस्सा हैं। कनेक्ट होने पर कमांड चलाने वाला निर्देश, या क्लाइंट प्रक्रिया में लोड किया गया प्लगइन, आपकी अनुमतियाँ रखता है और क्लाइंट के अलगाव में से कुछ नहीं। अगर आपने जो प्रोफ़ाइल नहीं माँगी उसमें ऐसा कुछ है, तो यह उसे भेजने वाले के लिए सवाल है।

दोनों में से कोई भी श्रेणी अपने आप शत्रुतापूर्ण नहीं है। कॉर्पोरेट परिनियोजन दोनों का उपयोग करते हैं। बात यह है कि हर एक ऐसी व्याख्या माँगती है जिसे आप जाँच सकें।

स्रोत सत्यापित करें, फिर रहस्य दर्ज करें

यह स्थापित करें कि फ़ाइल किसने जारी की, उस चैनल से जिस पर आप पहले से भरोसा करते हैं, उस संदेश से नहीं जिसने उसे पहुँचाया। एंडपॉइंट और प्रमाणपत्र का विवरण ऑपरेटर के प्रकाशित दस्तावेज़ों से मिलाएँ। अगर कोई प्रोफ़ाइल बिना माँगे आई है, तो आपको दी गई प्रति को ठीक करने के बजाय ऑपरेटर से सीधे नई लें। पूछें कि ऑपरेटर किस क्लाइंट संस्करण का समर्थन करता है, क्योंकि वही फ़ाइल कोई दूसरा क्लाइंट अलग तरह से समझ सकता है।

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

यह देखने के लिए कि काम करता है या नहीं, कभी किसी अस्पष्ट फ़ील्ड में पासवर्ड न रखें, और सिर्फ़ आयात पूरा करने के लिए कभी कोई अपरिचित विशेषाधिकार अनुरोध स्वीकार न करें। सफल कनेक्शन साबित करता है कि एंडपॉइंट ने उत्तर दिया, इससे ज़्यादा नहीं।

डाउनलोड नहीं, आयातित प्रति हटाएँ

क्लाइंट प्रोफ़ाइल को अपने स्टोर में कॉपी करते हैं, इसलिए डाउनलोड की गई फ़ाइल मिटाने से आयातित कनेक्शन सक्रिय रहता है। इसे क्लाइंट के अपने इंटरफ़ेस से हटाएँ, और जाँचें कि आयात के दौरान जोड़ा गया कोई भी प्रमाणपत्र भी चला गया है। फिर पुष्टि करें कि इसने जो रूट स्थापित किए वे भी चले गए हैं।

अगर कोई प्रमाणपत्र सिस्टम दायरे में स्थापित हुआ था, तो प्रोफ़ाइल हटाना पर्याप्त नहीं है। वह सफ़ाई प्लेटफ़ॉर्म के भरोसा प्रबंधन की है, और अगले रीबूट के संभालने की आशा करने के बजाय इसे जानबूझकर करना बेहतर है।