OpenVPN პროფილის გადატანადობა: გადატანადი გასაღებები პლატფორმის პარამეტრების წინააღმდეგ

იგივე .ovpn ფაილი ერთ კლიენტში გვირაბს ხსნის და მეორეში ვერ ირთვება, და სერთიფიკატი ჩვეულებრივ პირველი ეჭვმიტანილია. უფრო ხშირად ფაილი შეიცავს მითითებას, რომელსაც მხოლოდ ერთი ძრავა ახორციელებს. პროფილი კონკრეტულ კლიენტთან დადებული ხელშეკრულებაა და არა გადატანადი სკრიპტი.

გამოყავით ის, რაც იდენტობასთან ერთად მოძრაობს, იმისგან, რაც პლატფორმას ეკუთვნის. მაშინ ხარვეზი, როგორც წესი, თავად ასახელებს თავს.

ერთი ფაილი, ორი ხელშეკრულება

პროფილი აერთიანებს სამ სახის შიგთავსს: იდენტობის მასალას, როგორიცაა CA და კლიენტის სერთიფიკატები და კერძო გასაღები, ტრანსპორტის ფაქტებს, როგორიცაა დისტანციური ბოლო წერტილი და პროტოკოლი, და ქცევით მითითებებს, როგორიცაა DNS-ის მართვა ან მოწყობილობის პარამეტრები. პირველი ორი ფართოდ გადატანადია იმავე პროტოკოლის მხარდამჭერ ძრავებს შორის. მესამე არის ადგილი, სადაც იმპლემენტაციები იშლება. მთელი ფაილის ერთ გადატანად ერთეულად მოპყრობა სწორედ ის არის, რაც ქმნის დამაბნეველ ხარვეზებს.

ფაილი, რომელიც ერთი პლატფორმის GUI-ში მუშაობს, ავტომატურად არ არის ვალიდური მეორე პლატფორმის ბრძანების სტრიქონის კლიენტისთვის. მაშინაც კი, როცა ორივე OpenVPN არის, პარსერები და პარამეტრების ნაკრებები განსხვავდება. ამიტომ წარმატებული იმპორტი გადატანადი პროფილის მტკიცებულება არ არის.

გადატანადი მასალა პლატფორმის მითითებების წინააღმდეგ

იდენტობისა და ტრანსპორტის სექციები შესანარჩუნებელი ნაწილია. ca, cert, key და remote აღწერენ, ვინ უკავშირდება და სად, და ისინი ერთსა და იმავეს ნიშნავენ ყველა შესაბამისი კლიენტისთვის.

ქცევითი მითითებები შესადარებელი ნაწილია. block-outside-dns, მაგალითად, არსებობს Windows-ში DNS-ის ქცევის შესაცვლელად. Unix კლიენტმა შეიძლება საერთოდ არ იცნოს ის.

წაიკითხეთ მიმღები კლიენტის პარამეტრების სია და არა გამომგზავნის. OpenVPN 2.6 საცნობარო სახელმძღვანელო აღწერს ძრავის პარამეტრებს, და GUI-ის იმპორტის დიალოგი ეს სია არ არის.

წაიკითხეთ პარსერის შეცდომა სერთიფიკატამდე

შეცდომა, რომელიც უცნობ პარამეტრს ასახელებს, პარსერის ხარვეზია და არა ავთენტიფიკაციის ხარვეზი. კავშირმა TLS-ს ვერასდროს მიაღწია, ამიტომ სერთიფიკატების შეცვლა ვერ დაეხმარება. წაიკითხეთ პირველი შეცდომა რეალური კლიენტიდან და ვერსიიდან, შემდეგ წაშალეთ ან შეცვალეთ მხოლოდ ის მითითება, რომელსაც ეს კლიენტი ვერ ახორციელებს. სერთიფიკატის ან მარშრუტის სექციების წაშლა იმისთვის, რომ ფაილი ჩაიტვირთოს, სწორედ ის გზაა, რომლითაც მომუშავე პროფილი არაუსაფრთხო ხდება.

თუ შეცდომა ხელის ჩამორთმევას, სერთიფიკატს ან შიფრს ახსენებს, პროფილი გაანალიზდა და პრობლემა სხვაგანაა.

შეინახეთ ორიგინალი ფაილი ადაპტირებულის გვერდით. როცა ადაპტირებული ფაილი მოგვიანებით ვერ იმუშავებს, ორიგინალი არის კონტროლი, რომელიც გეუბნებათ, შეიცვალა ცვლილება თუ გარემო.

უფლებები მეორე საზღვარია

უფლებები მეორე საზღვარია: გვირაბის მოწყობილობის შექმნა, მარშრუტების დაყენება და კერძო გასაღების წაკითხვა ყველა ლოკალურ ნებართვებზეა დამოკიდებული. გასაღების ფაილი, რომლის წაკითხვაც მხოლოდ root-ს შეუძლია, ჩვეულებრივი განლაგებაა და არა პროფილის დეფექტი. შესწორება საკუთრებას ან შესაძლებლობებს ეკუთვნის და არა ფაილს.

კლიენტის sudo-თი გაშვებამ შეიძლება ლოკალური ნებართვის უარყოფა მოაგვაროს, და მას არ შეუძლია დაამატოს მითითება, რომელსაც ბინარი არ ახორციელებს. ის ასევე ცვლის, რომელი მომხმარებლის გასაღებების რგოლი, კონფიგურაციის ბილიკები და ქსელის მენეჯერის კონტექსტი მოქმედებს, ამიტომ შედეგი იგივე ტესტი არ არის.

მიზანმიმართულად მოახდინეთ ადაპტაცია

როცა მომწოდებელი ცალკეულ პროფილებს აქვეყნებს, აიღეთ ის, რაც მიმღები კლიენტისთვისაა განკუთვნილი. სხვა პლატფორმის ფაილის ადაპტაცია ბოლო საშუალებაა. ის მოითხოვს თითოეული შეცვლილი პარამეტრის ჩანაწერს და ორიგინალის ასლს.

შეამოწმეთ იდენტობა, მარშრუტიზაცია და DNS სამ ცალკე შედეგად. პროფილი, რომელიც ავთენტიფიცირებს და მარშრუტიზაციას ახდენს, მაგრამ სახელების ამოხსნას ამტვრევს, ნაწილობრივ ადაპტირებული პროფილია და არა მომუშავე.