Hvernig á að staðfesta netþjón OpenVPN-sniðs áður en það er flutt inn

Einhver sendir þér snið, þú flytur það inn, og þrjátíu sekúndum síðar hringir biðlari í áfangastað sem enginn hefur athugað. Lestu skrána í textaritli fyrst, því allt sem skiptir máli er í handfylli skipana: remote, proto, port, ca, cert, tls-crypt og verify-x509-name. Allt annað eru sjálfgefnar stillingar, og það er í þeim sem óvæntu hlutirnir liggja.

Teldu upp hvern endapunkt sem skráin getur notað

Byrjaðu á endapunktunum, því eitt snið getur haft nokkra. grep -nE '^[[:space:]]*(remote|proto|port|remote-random|connection)' profile.ovpn prentar hvern frambjóðanda í skráarröð, þar á meðal þá sem eru innfelldir í innbyggðum <connection>-blokkum.

Þegar skipun sleppir porti fellur biðlarinn aftur á sjálfgefið gildi hlustandans, svo remote vpn.example.com eitt og sér þýðir port 1194 með hvaða proto sem birtist síðar í skránni. Nokkrar venjulegar remote-línur eru valkostir: biðlarinn prófar þær í röð nema remote-random stokkli þeim, og hann skiptir aldrei hljóðlaust út vél annars rekstraraðila. Tvær remote-línur á ótengdum lénum er punkturinn þar sem þú staldrar við og spyr hverri var ætlað.

Taktu líka eftir stafsetningu proto. tcp er samþykkt sem samheiti fyrir tcp-client á biðlarahlið, en tcp-server í biðlarasniði er stillingarvilla sem hefur tilhneigingu til að hanga frekar en að mistakast snyrtilega.

Staðfestu nafnið, síðan portið

dig +short vpn.example.com segir þér hvort nafnið er til og hvaða vistföng það skilar, og fjölheimta eða umboðinn endapunktur getur lögmætlega skilað nokkrum. Upplausn er forsenda, ekki sönnun um eignarhald; hver sem er getur beint nafni að vistfangi, og eitt vistfang getur svarað fyrir mörg nöfn.

Athugaðu síðan hlustandann á portinu sem þú fannst, í samræmi við flutninginn. Yfir TCP prentar openssl s_client -connect vpn.example.com:1194 -servername vpn.example.com keðjuna sem netþjónninn leggur fram. Yfir UDP þarftu DTLS: openssl s_client -dtls1_2 -connect vpn.example.com:1194 keyrir sama handaband yfir gagnagrams. Lokið handaband sannar að eitthvað hlustar og heldur á skírteini, sem er meira en ping sýnir og minna en trauststillingar sniðsins sjálfs krefjast.

Þegar handabandið mistekst og vélin svarar pingi er portið líklega rangt eða síað. Líttu á það sem ástæðu til að biðja um rétta portið, ekki sem boð um að sópa nálægu portin. nc -vzu tilkynnir líka árangur á sumum stöflum þó ekkert hlusti, svo bert UDP-prufa þýðir ekkert án handabands að baki.

Lestu traustnaglabindingarnar aðskildar frá vistfanginu

Vistfangið ræður því hvert biðlarinn fer; traustblokkin ræður því hverjum hann trúir þegar hann er kominn. verify-x509-name "vpn.example.com" name festir algengt nafn viðfangsins, og remote-cert-tls server krefst útvíkkaðrar notkunar lykilsins fyrir auðkenningu netþjóns. Snið sem rekstraraðili afhendir þér ætti að bera hvort tveggja.

Leitaðu að ca, innbyggðri <ca>-blokk og annaðhvort tls-crypt eða tls-auth. Snið sem notar tls-auth þarf key-direction 1 á biðlarahlið þegar netþjónshliðin notar stefnu 0, og misræmi lætur handabandið mistakast með TLS-villu sem hljómar eins og skírteinisvilla. Innbyggt CA sem tilheyrir ekki rekstraraðilanum sem þú varst að leysa nafnið hans þýðir að skráin var sett saman úr tveimur uppsprettum, og það er tilvikið sem er þess virði að hafna alfarið.

verify-x509-name tekur name, name-prefix eða subject stillingar, og sú síðasta ætlast til fulls greinandi nafns í nákvæmri þeirri röð sem netþjónninn prentar það. Veldu stillingu sem passar við lögun gildisins, því biðlarinn hafnar hverri tengingu frekar en að vara við næstum höggi. Fyrir skrá sem þú skrifaðir ekki sjálf er name með venjulegu vélarheiti minnst óvænta valið.

Athugaðu valkostina sem mistakast hljóðlaust

OpenVPN 2.6 semur um dulritunarsöfn gegnum data-ciphers, og snið sem ber aðeins gamla cipher AES-256-CBC-línu getur klárað stjórnrásina og stöðvast svo á gögnum. Að lesa það gildi segir þér hvort skráin sé eldri en netþjónninn sem þú tengist; 2.6-handbókin listar samningsröðina ef þú þarft að vitna í hana aftur til rekstraraðilans.

auth-user-pass án skráarheitis þýðir að biðlarinn spyr, svo snið sem virðist sjálfstætt þarf samt innskráningargögn. auth-user-pass credentials.txt þýðir að það ætlast til skráar sem þú fékkst líklega ekki. nobind og resolv-retry infinite eru venjuleg og meinlaus, en explicit-exit-notify er aðeins fyrir UDP og tilgangslaust yfir TCP.

Ekkert þessara breytir því hvert sniðið tengist, en hvert breytir því hvort það tengist yfirleitt, og ekkert þeirra er sýnilegt í innflutningsglugga biðlara.

Ákveddu, og skráðu síðan hvað þú ákvaðst

Þrjár niðurstöður eru til eftir þessa lestur, og aðeins ein er innflutningur. Þegar endapunkturinn og naglabindingarnar passa við leiðbeiningar sem þú fékkst um aðra rás, flyttu það inn. Þegar endapunkturinn lítur rétt út en naglabindingarnar eða CA-ið passa ekki, biddu um leiðrétta skrá. Þegar skráin blandar endapunktum eða CA-efni frá mismunandi uppsprettum skaltu eyða henni og biðja um nýtt eintak.

Skráðu tætigildið sem þú fórst yfir, svo næsta manneskja geti séð hvort skráin breyttist: sha256sum profile.ovpn, límdur við hlið endapunktarins í athugasemdunum þínum. Snið er heildarfyrirkomulag, ekki listi af vistföngum, svo skeyttu aldrei virkri fjartengingu inn í traustblokk einhvers annars á meðan þú heldur innskráningargögnum þeirra.

Haltu einkalyklum og lykilorðum frá skjáskotum og spjallþráðum á meðan þú berð saman athugasemdir. Endapunkturinn og valkostirnir sem ekki eru leynilegir nægja til að spyrja nákvæmrar spurningar, og restin á heima í skránni.

Ef þú flytur það inn og fyrsta tilraun mistekst, keyrðu biðlarann með --verb 3 og lestu fyrstu tíu línurnar: uppleysta fjarfærsluvistfangið, samið proto og TLS-villan birtast í þeirri röð, sem segir þér hverri athugananna hér að ofan þú slepptir.