Berðu saman tveimur OpenVPN-sniðum án þess að leka lyklum

Tvö snið, annað tengist og hitt ekki, og fljótlega leiðin til að sjá hvers vegna er diff. Vandamálið er að sami diff prentar innfellda einkalykilinn, fasta lykilinn og hvaða skilríkjablokk sem skráin ber, og fólk límir úttakið í spjall áður en áttar sig. Ákvörðunin um hvað þú berð saman kemur á undan því að keyra skipunina. Berðu saman byggingu og hlutverk á vernduðum afritum, og búðu til sérstaka ritskoðaða skrá þegar einhver annar þarf að sjá hana.

Hvað .ovpn-skrá ber í raun

Skrá .ovpn er stilling með valfrjálsum innfelldum blokkum. Hún getur haldið CA-skírteini, biðlara-skírteini, einkalykli, lykli tls-auth eða tls-crypt, og skipunum sem vísa á utanaðkomandi skrár eða biðja um skilríki. Tvær skrár geta litið næstum eins út og aðeins verið ólíkar inni í blokk, eða í einni skipun sem breytir flutningnum algjörlega. Fjöldi lína segir þér ekkert um hver þessara atvika átti sér stað.

Munur inni í lyklablokk er ekki opinbert sönnunargagn um neitt. Endurútgefið skírteini og skírteini með nýjum lykli geta framleitt sömu lögun breytingar, svo blokkarósamræmið segir að efnið sé öðruvísi, ekki hvaða ákvörðun framleiddi það. Líttu á það sem merki um að bera saman svæði, ekki sem niðurstöðu.

Berðu saman eftir hlutverki, ekki eftir línu

Fylgdu eigin röð tengingarinnar: fyrst endapunktur og flutningur, síðan traust og vænt auðkenni, síðan auðkenning notanda, síðan leiðir, DNS og skriftukrókar. Þessi röð passar við það sem biðlarinn gerir, svo fyrsti munurinn sem þú hittir er fyrsta hluturinn sem gat hafa rofið tenginguna. Stafrófsröðun dreifir tengdum stillingum um allt úttakið í staðinn.

Svæðavitundar umferð skoðar þessa hluti, í þeirri röð. Allt sem biðlarinn spyr um á gagnvirkan hátt tilheyrir auðkenningarlínunni, ekki traustslínunum.

• remote, proto og port, þar á meðal hver tengingarblokk.
• ca og cert: útgefandi, viðfang og gildisdagur.
• Hvort einkalykill er yfirhöfuð til staðar, aldrei hvað hann inniheldur.
• tls-auth eða tls-crypt tilvist og lykilstefna.
• Auðkenningarskipanir, þar á meðal hver tilvísun í skilríkjaskrá.
• Leiðir, DNS-valkostir og skriftukrókar sem keyra við tengingu.

Þegar skrá heldur nokkrum tengingarblokkum skaltu halda hverjum valkosti við endapunkt sinn. Að bera saman aðeins fyrstu remote línuna getur misst af valkostinum sem biðlarinn velur í raun á þessu neti.

Hvers vegna venjulegt diff er rangt tæki

Venjulegt diff er byggt fyrir texta, ekki fyrir leyndarmál. Það prentar einkalykil fúslega í skrunferil skjásins og segir þér ekki að skipunin sem þú starir á sé óviðkomandi biluninni. Svæðaútdrættir eru bæði öruggari og læsilegri, því hægt er að bera saman skírteinisefni sem lýsigögn í stað bæta.

openssl x509 -in ca.crt -noout -subject -issuer -enddate
openssl x509 -in client.crt -noout -subject -issuer -enddate
grep -E '^(remote|proto|port|tls-auth|tls-crypt|route|dhcp-option)' profile.ovpn

Fyrstu tvær skipanirnar prenta auðkenni og gildi án þess að snerta lykilinn, svo úttak þeirra er öruggt að líma. grep prentar heiti og gildi skipana en aldrei líkama blokkanna, sem gerir það að réttu fyrstu umferðinni þegar þú grunar mun á flutningi eða leiðsögn. Ef bera þarf saman blokkina sjálfa skaltu bera saman hash hennar í stað innihaldsins.

Búðu til ritskoðað afrit fyrir miðann

Fjarlægðu raunveruleg leyndarmál og ónauðsynleg auðkenni en haltu svæðaheitum og nægri byggingu til að útskýra muninn. Merki af sömu lögun afhjúpar samt hvar efnið er og hve langt það var, svo ákveddu hvort jafnvel það sé ásættanlegt. Athugaðu sjálfa endanlegu viðhengið í stað þess að treysta skipuninni sem þú manst að þú keyrðir. Ekki breyta vinnslueintakinu bara til að búa til dæmi, því ritskoðað snið er ekki endilega keyranlegt og ætti aldrei að flytja inn aftur.

Haltu eintökunum auðþekkjanlegum eftir skráarheiti og hash í stað þess að afrita þau í þrjár möppur með líkum heitum. Hash-strengur nægir til að sanna hvaða skrá var skoðuð og kostar ekkert ef hann lekur. Klipptu afritin eftir að breytingunni er lokað svo næsta manneskja erfi eina valdskrá.

Haltu samanburðinum bundnum við bilun

Samanburður er kostnaðarins virði þegar hann svarar spurningu um eina innflutning eða eina tengingarbilun. Nefndu fyrst skrefið sem bregst, berðu síðan aðeins saman svæðin sem það skref er háð; að safna öllum skilríkjum biðlarans í eina möppu gerir næsta leka líklegri og næstu greiningu hægari. Því þrengri sem spurningin er, því styttri er listinn yfir svæði sem geta svarað henni.

Ef ný skrá kom frá rekstraraðilanum skaltu staðfesta dreifileið hennar áður en þú skiptir um traustsefni. Eftir breytinguna skaltu skoða innflutta afritið sem biðlarinn valdi í raun og samið niðurstöðu, því önnur biðlaraútgáfa getur hunsað skipun eða lesið hana öðruvísi. Skráin á diski er ekki sönnun um tenginguna sem rann. Merking skipananna er í OpenVPN 2.6 handbókinni.