VPN को डीबग करने के लिए आपको निजी कुंजी की ज़रूरत नहीं है

अनुरोध उचित लगता है: कॉन्फ़िग भेजिए ताकि सपोर्ट देख सके कि क्या गड़बड़ है। निजी कुंजियाँ भी इसी तरह टिकट सिस्टम और चैट लॉग में पहुँच जाती हैं। कॉन्फ़िग एक पहचान है, निदान नहीं, और आपकी टनल डीबग करने वाले को लगभग कभी उस आधे हिस्से की ज़रूरत नहीं होती जो साबित करता है कि आप कौन हैं। स्टेटस आउटपुट उन्हीं सवालों का जवाब उस जोखिम के बिना देता है।

मिथक यह है कि कॉन्फ़िग ही एकमात्र पूरा दृश्य है। यह सबसे कम सुरक्षित पूरा दृश्य है।

मिथक: सपोर्ट को कॉन्फ़िग चाहिए

सपोर्ट को त्रुटि का पाठ, क्लाइंट और सर्वर के संस्करण, एंडपॉइंट, हैंडशेक की स्थिति और घटनाओं का क्रम चाहिए। यह सब स्टेटस है। कॉन्फ़िग कुंजियाँ जोड़ता है, और कुंजियाँ ही वह चीज़ हैं जो किसी और को आप बनने देती हैं। रूटिंग समस्या ठीक करने के लिए कॉन्फ़िग सौंपना वैसा ही है जैसे देरी से उड़ान समझाने के लिए पासपोर्ट डाक से भेजना। अनुरोध आमतौर पर ऐसे व्यक्ति से आता है जिसने आपका नेटवर्क कभी नहीं देखा और वह चीज़ माँगता है जिसे जोड़ना सबसे आसान है।

सवाल का जवाब देने वाला सबसे छोटा आउटपुट भेजिए, सबसे बड़ा नहीं जो आपको मिले।

स्टेटस वास्तव में क्या दिखाता है

WireGuard का wg show इंटरफ़ेस, पीयर, अनुमत IP, एंडपॉइंट, नवीनतम हैंडशेक और ट्रांसफ़र काउंटर छापता है, और निजी कुंजी नहीं छापता। OpenVPN का स्टेटस और लॉग आउटपुट इनलाइन कुंजी ब्लॉक के बिना कनेक्शन स्थिति और त्रुटियाँ देता है। दोनों ही यह देखने के लिए काफ़ी हैं कि हैंडशेक पूरा होता है या नहीं, काउंटर हिलते हैं या नहीं और कौन सा पीयर उपयोग में है, जिसे wg मैनुअल स्टेटस दृश्य के रूप में दस्तावेज़ित करता है।

अगर कोई सहायक उस आउटपुट से पहले कॉन्फ़िग माँगता है, तो पूछिए कि स्टेटस जो नहीं दिखाता वह कॉन्फ़िग क्या दिखाएगा।

हर फ़ॉर्मेट में रहस्य कहाँ छिपते हैं

WireGuard कॉन्फ़िग फ़ाइलों में PrivateKey पंक्तियाँ होती हैं, और सार्वजनिक पीयर कुंजियाँ तथा एंडपॉइंट मेटाडेटा उनके बिना भी पहचान देते हैं। OpenVPN प्रोफ़ाइल <key> और <tls-crypt> ब्लॉक एम्बेड कर सकते हैं या अलग फ़ाइलों की ओर इशारा कर सकते हैं जो प्रोफ़ाइल के साथ चलती हैं। क्लाइंट का सपोर्ट आर्काइव लॉग विंडो से कहीं अधिक रख सकता है, जिनमें वे कैश्ड प्रोफ़ाइल भी हैं जिन्हें आप भूल गए थे। स्क्रीनशॉट दूसरा आम रिसाव है, क्योंकि टर्मिनल विंडो उस कमांड से अधिक दिखाती है जिसे आप साझा करना चाहते थे।

निर्यात दस्तावेज़ पढ़िए, फिर फ़ाइल खोलिए। निदान के रूप में लेबल किया गया आउटपुट ज़रूरी नहीं कि किसी चीज़ से साफ़ किया गया हो।

संवेदनशील हिस्से हटाइए, फिर समीक्षित प्रति भेजिए

मूल को सुरक्षित जगह रखिए और समीक्षित प्रति भेजिए। जब असली मानों की ज़रूरत न हो तो एंडपॉइंट और सार्वजनिक कुंजियों को स्थिर प्लेसहोल्डर से बदलिए, और निजी कुंजी ब्लॉक को आंशिक रूप से छिपाने के बजाय पूरी तरह हटाइए। base64 ब्लॉक को आंशिक रूप से छिपाना अब भी लीक हुई कुंजी है। फ़ाइल के जाने से पहले एक बार और पढ़िए, क्योंकि आर्काइव अक्सर उसी प्रोफ़ाइल की दूसरी प्रति रखते हैं।

सत्यापित चैनल इस्तेमाल कीजिए, और कुछ भी जोड़ने से पहले देखिए कि कौन इसे प्राप्त कर रहा है।

अगर कुंजी पहले ही लीक हो चुकी है

संदेश हटाने से दूसरों के पास पहले से मौजूद प्रतियाँ वापस नहीं आतीं। ऑपरेटर की रद्दीकरण और प्रतिस्थापन प्रक्रिया से पहचान बदलिए, और पुरानी कुंजी को भेजे जाने के क्षण से जोखिम में मानिए। ज़्यादातर ऑपरेटर खुलासे की सूचना मिलने पर क्लाइंट पहचान जल्दी बदल देंगे, और सूचना देना ही वह हिस्सा है जिसे लोग टालते हैं।

यही नियम टिकट, स्क्रीनशॉट या चैट थ्रेड में चिपकाई गई कुंजी पर लागू होता है। रोटेशन समाधान है; हटाना घर का काम है।