Համեմատեք երկու OpenVPN պրոֆիլ՝ առանց բանալիները բացահայտելու

Երկու պրոֆիլ՝ մեկը միանում է, մյուսը՝ ոչ, և պատճառը տեսնելու արագ ճանապարհը diff-ն է։ Խնդիրն այն է, որ նույն diff-ը տպում է ներդրված գաղտնի բանալին, ստատիկ բանալին և ցանկացած հավատարմագրային բլոկ, որը կրում է ֆայլը, և մարդիկ արդյունքը տեղադրում են չաթում՝ նախքան նկատելը։ Ինչ եք համեմատում, որոշելը գալիս է հրամանը գործարկելուց առաջ։ Համեմատեք կառուցվածքն ու դերերը պաշտպանված պատճենների վրա, և առանձին խմբագրված ֆայլ կառուցեք, երբ ուրիշը պետք է տեսնի այն։

Ինչ է իրականում կրում .ovpn ֆայլը

.ovpn ֆայլը կոնֆիգուրացիա է՝ ըստ ցանկության ներդրված բլոկներով։ Այն կարող է պարունակել CA վկայագիր, հաճախորդի վկայագիր, գաղտնի բանալի, tls-auth կամ tls-crypt բանալի, և հրահանգներ, որոնք մատնանշում են արտաքին ֆայլեր կամ պահանջում հավատարմագրեր։ Երկու ֆայլ կարող են գրեթե նույնը թվալ և տարբերվել միայն բլոկի ներսում, կամ մեկ հրահանգով, որը լիովին փոխում է տրանսպորտը։ Տողերի քանակը ոչինչ չի ասում, թե դրանցից որն է եղել։

Բանալու բլոկի ներսում տարբերությունը որևէ բանի հանրային ապացույց չէ։ Վերաթողարկված վկայագիրը և նոր բանալիով վկայագիրը կարող են տալ նույն ձևի փոփոխություն, ուստի բլոկի անհամապատասխանությունը ասում է, որ նյութը տարբեր է, ոչ թե որ որոշումն է ստեղծել այն։ Ընկալեք այն որպես դաշտերը համեմատելու ազդանշան, ոչ որպես եզրակացություն։

Համեմատեք ըստ դերի, ոչ ըստ տողի

Հետևեք կապի սեփական հերթականությանը. նախ վերջնակետը և տրանսպորտը, ապա վստահությունը և սպասվող ինքնությունը, ապա օգտվողի նույնականացումը, ապա երթուղիները, DNS-ը և սկրիպտային կեռիկները։ Այդ հաջորդականությունը համապատասխանում է նրան, ինչ անում է հաճախորդը, ուստի առաջին տարբերությունը, որին հանդիպեք, առաջին բանն է, որ կարող էր կոտրել կապը։ Այբուբենով համեմատելը փոխարենը ցրում է կապված կարգավորումները ողջ արդյունքում։

Դաշտերին ուշադիր անցումը դիտարկում է այս տարրերը՝ այդ հերթականությամբ։ Այն ամենը, ինչ հաճախորդը հարցնում է ինտերակտիվ, պատկանում է նույնականացման տողին, ոչ վստահության տողերին։

• remote, proto և պորտ, ներառյալ յուրաքանչյուր կապի բլոկ։
• ca և cert՝ թողարկող, թեմա և ժամկետի ավարտ։
• Արդյոք գաղտնի բանալի ընդհանրապես կա, երբեք՝ ինչ է պարունակում։
• tls-auth կամ tls-crypt առկայությունը և բանալու ուղղությունը։
• Նույնականացման հրահանգներ՝ ներառյալ հավատարմագրային ֆայլի ցանկացած հղում։
• Երթուղիներ, DNS ընտրանքներ և սկրիպտային կեռիկներ, որոնք աշխատում են միանալիս։

Երբ ֆայլը պարունակում է մի քանի կապի բլոկ, յուրաքանչյուր ընտրանք պահեք իր վերջնակետի հետ։ Միայն առաջին remote տողի համեմատությունը կարող է բաց թողնել այն այլընտրանքը, որ հաճախորդն իրականում ընտրում է այս ցանցում։

Ինչու պարզ diff-ը սխալ գործիք է

Պարզ diff-ը կառուցված է տեքստի, ոչ գաղտնիքների համար։ Այն հաճույքով գաղտնի բանալին կտպի էկրանի պատմության մեջ և չի ասի, որ հրահանգը, որին նայում եք, կապ չունի խափանման հետ։ Դաշտերի արտահանումը միաժամանակ ավելի անվտանգ է և ավելի ընթեռնելի, քանի որ վկայագրի նյութը կարելի է համեմատել որպես մետատվյալներ, ոչ որպես բայթեր։

openssl x509 -in ca.crt -noout -subject -issuer -enddate
openssl x509 -in client.crt -noout -subject -issuer -enddate
grep -E '^(remote|proto|port|tls-auth|tls-crypt|route|dhcp-option)' profile.ovpn

Առաջին երկու հրամանները տպում են ինքնություն և վավերականություն՝ չդիպչելով բանալուն, ուստի դրանց արդյունքը անվտանգ է տեղադրելու համար։ grep-ը տպում է հրահանգների անուններն ու արժեքները, բայց երբեք բլոկների մարմինները, ինչը այն դարձնում է ճիշտ առաջին անցումը, երբ կասկածում եք տրանսպորտի կամ երթուղավորման տարբերություն։ Եթե բլոկն ինքնին պետք է համեմատել, համեմատեք դրա հեշը, ոչ բովանդակությունը։

Տոմսի համար խմբագրված պատճեն կառուցեք

Հեռացրեք իրական գաղտնիքներն ու ավելորդ նույնացուցիչները՝ պահպանելով դաշտերի անունները և բավական կառուցվածք տարբերությունը բացատրելու համար։ Նույն ձևի նշիչը դեռևս բացահայտում է, թե որտեղ է նյութը և որքան երկար էր այն, ուստի որոշեք՝ նույնիսկ դա ընդունելի է արդյոք։ Ստուգեք հենց վերջնական կցորդը՝ փոխարենը վստահելով հիշած հրամանին։ Մի խմբագրեք աշխատանքային բնօրինակը միայն օրինակ ստեղծելու համար, քանի որ խմբագրված պրոֆիլը պարտադիր չէ, որ գործարկելի լինի և երբեք չպետք է նորից ներմուծվի։

Բնօրինակները ճանաչելի պահեք ֆայլի անունով և հեշով՝ դրանք նման անուններով երեք պանակներում պատճենելու փոխարեն։ Հեշ տողը բավական է ապացուցելու, թե որ ֆայլն է ստուգվել, և ոչինչ չի արժենում, եթե արտահոսի։ Կտրեք պատճենները փոփոխությունը փակվելուց հետո, որպեսզի հաջորդ մարդը ժառանգի մեկ հեղինակավոր ֆայլ։

Պահեք համեմատությունը կապված խափանման հետ

Համեմատությունն արժե իր ծախսը, երբ պատասխանում է մեկ ներմուծման կամ մեկ կապի խափանման մասին հարցին։ Նախ անվանեք ձախողվող քայլը, ապա համեմատեք միայն այն դաշտերը, որոնցից կախված է այդ քայլը. հաճախորդի բոլոր հավատարմագրերը մեկ պանակում հավաքելը հաջորդ արտահոսքը դարձնում է ավելի հավանական, իսկ հաջորդ ախտորոշումը՝ ավելի դանդաղ։ Որքան նեղ է հարցը, այնքան կարճ է այն դաշտերի ցանկը, որոնք կարող են պատասխանել դրան։

Եթե նոր ֆայլը եկել է օպերատորից, հաստատեք դրա տարածման ուղին՝ նախքան վստահության նյութը փոխարինելը։ Փոփոխությունից հետո ստուգեք այն ներմուծված պատճենը, որ հաճախորդն իրականում ընտրել է, և բանակցված արդյունքը, քանի որ հրահանգը կարող է անտեսվել կամ այլ կերպ կարդացվել այլ հաճախորդի տարբերակի կողմից։ Սկավառակի ֆայլը ապացույց չէ այն կապի, որն աշխատել է։ Հրահանգների իմաստաբանությունը OpenVPN 2.6 ձեռնարկում.