Ձեր .ovpn ֆայլը կարող է կոդ գործարկել, ոչ միայն երթևեկություն ուղղել

Մարդկանց մեծ մասը .ovpn ֆայլը կարդում է այնպես, ինչպես կարդում է երթուղիչի կարգավորումների էջը՝ հասցեներ, երթուղիներ, գաղտնագրերի ցանկ։ Կոդ գործարկող մասը գտնվում է ներքևի հատվածում՝ սանտեխնիկայի նման հրահանգների կողքին, և աշխատում է այն արտոնություններով, որոնք հաճախորդն արդեն ունի։ Սա այն բացն է, որն օգտագործում է անփույթ կամ վնասակար պրոֆիլը, և սա է նաև այն բացը, որը երեք շաբաթ անց օգտակար DNS օգնականին վերածում է աջակցության խնդրի։ Իրադարձության հրահանգը, անվտանգության մակարդակը և ֆայլի սեփականությունը որոշում են՝ ինչ կարող է պատահել, իսկ սկրիպտի բովանդակությունը որոշում է՝ ինչ է իրականում պատահում։ Կարդացեք բոլոր չորսը՝ միանալուց առաջ։

Օգնական գործարկող պրոֆիլը ծրագիր է, ոչ կարգավորումների ֆայլ

route և dhcp-option-ի նման հրահանգները նկարագրում են վիճակ, որը հաճախորդը պետք է հաստատի, և հաճախորդը դրանց վերաբերվում է որպես տվյալ։ up սկրիպտը տարբեր է: հաճախորդը այն գործարկում է որպես գործընթաց և տալիս է կապի մանրամասներով լի միջավայր, ուստի այն ամենը, ինչ գրել է հեղինակը, աշխատում է ձեր հաշվի իրավունքներով։ Նոթբուքում, որտեղ օգտատերը ադմինիստրատոր է, դա լայն դուռ է հավելվածի կամ ֆորումի թեմայից տեղադրված ֆայլի համար։ Տարբերությունը ոճական չէ, դա կոնֆիգուրացիայի և կոդի տարբերությունն է։

Այն առասպելը, որ արժե թողնել, այն է, թե պրոֆիլը կարող է միայն վերաուղղել երթևեկությունը. ip route add գործարկող օգնականը և հեռավոր հոսթի դեմ curl գործարկողը նույն մեխանիզմն են, և պրոֆիլը դրսից նույնն է երևում։ Ֆայլի տեսքի մեջ ոչինչ չի ասում, թե որն ունեք, դրա համար ստուգումը պետք է հասնի հենց սկրիպտին։

Ինչն է իրականում որոշում գործարկումը, և ինչպիսին են այն թույլատրող տողերը

Երեք բան է կառավարում օգնականին՝ այն անվանող իրադարձության հրահանգը, այն թույլատրող script-security մակարդակը և հաճախորդի հարթակի սեփական իրականացումը։ Պրոֆիլը կարող է կեռիկ խնդրել և միևնույնն է ոչինչ չտեսնել, որովհետև բջջային հաճախորդը կամ կրճատված աշխատասեղանի տարբերակը կարող է ընդհանրապես չիրականացնել այդ իրադարձությունը։ Նույն կերպ, իր գործառույթին անհրաժեշտից ավելի թույլտվություն խնդրող պրոֆիլը ձեզ ինչ-որ բան է ասում ծագման մասին։ Թույլտվության մակարդակը կարողություն է, ոչ հաստատում։ Թույլատրող տողերն այսպիսին են՝ ուղին կանգնում է ձերիը փոխարեն։

script-security 2
up /etc/openvpn/update-resolv-conf.sh
down /etc/openvpn/update-resolv-conf.sh

0-ին մակարդակը մերժում է արտաքին ծրագրերը, իսկ 1-ը՝ լռելյայնը, թույլատրում է միայն հաճախորդի ներկառուցված գործարկելի ֆայլերը, ուստի կեռիկին պետք է 2 կամ ավելի; 3-ը հիմնականում նախատեսված է հին գաղտնաբառերի փոխանցման համար, և ավելի լավ է խուսափել դրանից։ Կեռիկով տրամադրված պրոֆիլին պետք է և՛ հրահանգը, և՛ այդ մակարդակը, դրա համար ֆայլի ներքևի հատվածի մի տողը արժանի է նույն քննությանը, ինչ սերտիֆիկատի բլոկը։ OpenVPN-ի ձեռնարկը թվարկում է թույլտվության մակարդակները, և արժե նրա ձևակերպումը կարդալ պրոֆիլի իրական պահանջի կողքին։

Սեփականություն, ուղի և ինչով են կերակրում օգնականին

Պրոֆիլը, որին վստահում եք, բայց որը ցույց է տալիս սկրիպտի, որը մեկ այլ հաշիվ կարող է վերաշարադրել, վստահելի կարգավորում չէ, որովհետև երեկվա ստուգումն այլևս չի նկարագրում, թե ինչ է աշխատում այսօր։ Ստուգեք օգնականի սեփականատիրոջը և ռեժիմը, և ստուգեք, որ կարգավորված ուղին հանգում է ձեր ստուգած ֆայլին, այլ ոչ այն անվանը, որը ուրիշ բան կարող է ստվերել։ Փաստարկներն ու միջավայրը նույն հայացքին արժանի են: հաճախորդը կապի մանրամասները փոխանցում է կեռիկին, և իր ամբողջ միջավայրը գրանցող օգնականը կարող է հավատարմագրեր գրել աջակցության տոմսի մեջ։ Նախընտրեք օպերատորի կամ հարթակի փաստաթղթավորված ինտեգրումը չկապված գրառումից պատճենված DNS սկրիպտից, որովհետև նույն ֆայլի համար վիճող երկու լուծիչի կառավարիչներ ստեղծում են ձախողում, որը կոտրված VPN-ի տեսք ունի։

Երբ հայտնում եք ձախողված կեռիկի մասին, խմբագրեք միջավայրը՝ նախքան այն որևէ տեղ տեղադրելը։ Վրիպազերծմանը օգնող արտածումը կարող է կրել նաև այն նշանը, որը նույնականացնում է ձեզ։

Մաքրման ձախողումները ի հայտ են գալիս այն բանից հետո, երբ թունելը գնացել է

up օգնականը ավելացնում է երթուղիներ և լուծիչի կարգավորումներ, իսկ down օգնականը պետք է դրանք նորից հանի։ Երբ down կեռիկը բացակայում է, լուռ ձախողվում է կամ երբեք չի աշխատում, որովհետև հաճախորդը սպանվել է, մնացորդները գոյատևում են նստաշրջանից։ Այն ժամանակ երթևեկությունը գնում է ճանապարհով, որը ոչ ոք չի պլանավորել, և անունները լուծվում են լուծիչով, որը պետք է հեռացված լիներ, մինչդեռ թունելն ինքը առողջ է թվում։ Այդ ախտանիշները գալիս են անջատումից հետո, դրա համար մեղադրում են ցանցին, ոչ թե պրոֆիլին։

Փորձարկեք ապամոնտաժումը որպես առանձին քայլ՝ բարձրացրեք թունելը, նշեք երթուղիներն ու լուծիչը, իջեցրեք այն, ապա հաստատեք, որ երկուսն էլ գնացել են։ Մաքուր միացող պրոֆիլը կարող է այնուամենայնիվ վիճակ թողնել հետևում, և օգնականի զրոյական ելքի կոդը չի ապացուցում, որ լուծիչը վերջացել է այնտեղ, որտեղ դուք կարծում եք։

Օգնականի վերանայումը և ելքի պահպանումը

Կարդացեք սկրիպտը սկզբից մինչև վերջ՝ փնտրելով երեք բան՝ արտոնություն պահանջող հրամաններ, կոշտ կոդավորված ուղիներ, որոնք գուցե չկան ձեր համակարգում, և ցանցային ցանկացած կանչ, որ այն անում է։ Ապա տեսեք, թե ինչպես է այն ձախողվում, որովհետև սխալները կուլ տվող օգնականը կոնֆիգուրացիայի սխալը վերածում է առեղծվածի։ Եթե չեք կարող մեկ նախադասությամբ ասել, թե ինչ է անում սկրիպտը և ով կարող է փոխել այն, ապա պատրաստ չեք այն միացնել։ Պրոֆիլը, որն ավելի շատ արտոնություն է խնդրում, քան պահանջում է այդ նախադասությունը, կանգ առնելու ազդանշան է։

Պահեք վերջին աշխատող պրոֆիլը և այն օգնականը, որին այն հղում էր, պաշտպանված պահոցում՝ երկու տարբերակն էլ նշված, որպեսզի հետադարձը լինի պատճեն, այլ ոչ վերակառուցում ամենավատ պահին։ Եթե օգնականը գոյություն ունի միայն այնպիսի տարածման կամ հաճախորդի տարբերակի համար, որն այլևս դրա կարիքը չունի, թոշակի ուղարկեք այն կարգավորումում, որը տիրապետում է պարամետրին, փոխարենը արտոնություններ բարձրացնելու, մինչև սխալները դադարեն։ Դա է ելքը՝ ավելի քիչ շարժվող մասեր, ոչ ավելի թույլտվություն։