Þín .ovpn-skrá getur keyrt kóða, ekki bara beint umferð

Flestir lesa .ovpn-skrá eins og þeir lesa stillingasíðu beinis: vistföng, leiðir, listi yfir dulritanir. Hlutinn sem keyrir kóða situr nálægt botninum, við hlið fyrirmæla sem líta út eins og pípulagnir, og hann keyrir með hvaða réttindum sem biðlarinn hefur nú þegar. Það er skarðið sem gálaus eða illgjarn prófíll notar sér, og það er líka skarðið sem breytir gagnlegum DNS-aðstoðarmanni í stuðningsvandamál þremur vikum síðar. Atburðarfyrirmælið, öryggisstigið og eignarhald skrárinnar ráða því hvað getur gerst; innihald skriftunnar ræður því hvað gerist í raun. Lestu alla fjóra áður en þú tengist.

Prófíll sem keyrir aðstoðarmann er forrit, ekki stillingaskrá

Fyrirmæli eins og route og dhcp-option lýsa ástandi sem biðlarinn á að koma á, og biðlarinn meðhöndlar þau sem gögn. up-skrifta er öðruvísi: biðlarinn ræsir hana sem ferli og gefur henni umhverfi fullt af tengingarupplýsingum, svo allt sem höfundur hennar skrifaði keyrir með réttindum reikningsins þíns. Á fartölvu þar sem notandinn er kerfisstjóri er það breið hurð fyrir skrá sem barst sem viðhengi eða sem límdur texti úr spjallþræði. Greinarmunurinn er ekki stílfræðilegur, hann er munurinn á stillingum og kóða.

Goðsögnin sem vert er að leggja af er sú að prófíll geti aðeins beint umferð á annan veg. Aðstoðarmaður sem keyrir ip route add og sá sem keyrir curl gegn fjarlægum vélarheimi eru sami gangverkurinn, og prófíllinn lítur eins út að utan. Ekkert í útliti skrárinnar segir þér hvor þú hefur, þess vegna verður endurskoðunin að ná til skriftunnar sjálfrar.

Hvað ræður í raun framkvæmdinni, og hvernig líta leyfisveitandi línurnar út

Þrír hlutir stjórna aðstoðarmanni: atburðarfyrirmælið sem nefnir hann, script-security stigið sem leyfir hann og útfærsla biðlarakerfisins sjálfs. Prófíll getur beðið um krók og samt ekki séð neitt gerast, því farsímabiðlari eða skertur skrifborðsútgáfa útfærir kannski ekki þann atburð yfirhöfuð. Eins segir prófíll sem biður um meira leyfi en aðgerð hans krefst þér eitthvað um uppruna sinn. Leyfisstig er hæfni, ekki samþykki. Leyfisveitandi línurnar líta svona út, með slóð sem stendur í staðinn fyrir þína.

script-security 2
up /etc/openvpn/update-resolv-conf.sh
down /etc/openvpn/update-resolv-conf.sh

Stig 0 hafnar ytri forritum og stig 1, sjálfgefið, leyfir aðeins innbyggðar keyrsluskrár biðlarans, svo krókur þarf 2 eða hærra; stig 3 er aðallega fyrir að miðla gömlum lykilorðum og best að forðast. Prófíll sem fylgir krók þarf bæði fyrirmælið og það stig, þess vegna á ein lína nálægt botni skrárinnar sama skoðun og vottorðablokkin. OpenVPN-handbókin telur upp leyfisstigin, og orðalag hennar er þess virði að lesa við hlið þess sem prófíllinn biður reyndar um.

Eignarhald, slóð og hvað aðstoðarmaðurinn fær að borða

Prófíll sem þú treystir en vísar á skriftu sem annar reikningur getur endurskrifað er ekki traustskipulag, því endurskoðunin í gær lýsir ekki lengur því sem keyrir í dag. Athugaðu eiganda og stillingu aðstoðarmannsins og athugaðu að stillta slóðin leysist í skrána sem þú skoðaðir en ekki í nafn sem eitthvað annað getur skyggt á. Rök og umhverfi eiga sama skoðun skilið: biðlarinn miðlar tengingarupplýsingum til króksins, og aðstoðarmaður sem skráir allt umhverfi sitt er kannski að skrifa skírteini í stuðningsmiða. Veldu skjalfesta samþættingu frá rekstraraðilanum eða kerfinu fram yfir DNS-skriftu sem er afrituð úr ótengdri færslu, því tveir leysirastjórar sem deila sömu skrá framleiða bilun sem lítur út eins og bilað VPN.

Þegar þú tilkynnir krók sem bregst, afmáðu umhverfið áður en þú límir það hvar sem er. Dælan sem hjálpar þér að kemba getur líka borið táknið sem sannar þig.

Bilanir í hreinsun birtast eftir að göngin eru farin

up-aðstoðarmaður bætir við leiðum og leysirastillingum, og down-aðstoðarmaðurinn á að taka þær aftur burt. Þegar down-krókurinn vantar, bregst hljóðlega eða keyrir aldrei því biðlarinn var drepinn, lifa leifarnar sessionina af. Umferðin fer þá leið sem enginn skipulagði og nöfn leysast í gegnum leysi sem hefði átt að fjarlægja, á meðan göngin sjálf virðast heilbrigð. Þessi einkenni koma eftir aftengingu, þess vegna er netinu kennt um en ekki prófílnum.

Prófaðu niðurrif sem sjálfstætt skref: reistu göngin, skráðu leiðirnar og leysinn, slepptu þeim og staðfestu svo að bæði séu farin. Prófíll sem tengist hreint getur samt skilið eftir ástand, og núll-útgöngukóði aðstoðarmannsins sannar ekki að leysirinn hafi endað þar sem þú heldur.

Endurskoðun aðstoðarmannsins og að halda útgönguleið

Lestu skriftuna frá upphafi til enda og leitaðu að þremur hlutum: skipanir sem þurfa réttindi, harðkóðaðar slóðir sem eru kannski ekki á kerfinu þínu, og hvert netkall sem hún gerir. Horfðu svo á hvernig hún bregst, því aðstoðarmaður sem gleypir villur breytir stillingarvillu í ráðgátu. Ef þú getur ekki sagt í einni setningu hvað skriftan gerir og hver getur breytt henni, ertu ekki tilbúin(n) að virkja hana. Prófíll sem biður um meira réttindi en sú setning krefst er merkið um að stöðva.

Geymdu síðasta virka prófílinn og aðstoðarmanninn sem hann vísaði á í varðveittri geymslu, með báðar útgáfur skráðar, svo afturköllun sé afrit og ekki endurreisn á versta mögulega augnabliki. Ef aðstoðarmaðurinn er aðeins til fyrir dreifingu eða biðlaraútgáfu sem þarf hann ekki lengur, settu hann í frí í stillingunni sem á stillinguna, í stað þess að hækka réttindi þar til villurnar hætta. Það er útgönguleiðin: færri hreyfanlegir hlutir, ekki meira leyfi.