რა შეიძლება შეცვალოს გადაცემულმა VPN პროფილმა თქვენს მოწყობილობაზე

თქვენი კლიენტისთვის VPN პროფილის მიცემა ნიშნავს სხვის მიერ დაწერილი კონფიგურაციის მიცემას, რომელსაც ეს პროგრამა შემდეგ თქვენს მანქანაზე ასრულებს. მისი იმპორტი შეიძლება შეიცვალოს, სად მიდის დაფარული ტრაფიკი, რომელ მხარეს ენდობა თქვენი მოწყობილობა და ზოგიერთ ფორმატში — რომელი ლოკალური პროგრამები ეშვება გვირაბის აწევისას. ფაილი სანიშნე არ არის; ის პატარა პროგრამაა დეკლარაციულ ფორმატში.

წაიკითხეთ ისე, როგორც ერთი და იმავე წყაროდან მიღებულ გარსის სკრიპტს წაიკითხავდით.

მას კლიენტი განმარტავს, არა თქვენ

ფაილში ყოველი ველი ინსტრუქციაა კონკრეტული კლიენტისთვის. საბოლოო წერტილი და პროტოკოლი წყვეტს, სად მიდის გვირაბი, ავთენტიფიკაციის ბლოკი წყვეტს, რა საიდუმლო მოითხოვება, ხოლო მარშრუტის მითითებები წყვეტს, რა შედის მასში. სერტიფიკატები ან პირადი გასაღები შეიძლება ბლოკებად იყოს ჩაშენებული და არა ფაილებად მითითებული, და ამიტომ ერთი ტექსტური ფაილი ზოგჯერ ატარებს ყველაფერს, რაც საჭიროა შესასვლელის წინაშე თქვენად გასაცნობად. სწორედ ეს თვისება ხდის ფაილების ჩვეულებრივ გაზიარებას ასეთ საშიშს.

OpenVPN პროფილებს შეიძლება ჰქონდეს აგრეთვე სკრიპტის კაუჭები, დანამატების ბილიკები და უსაფრთხოების დონე, რომელიც განსაზღვრავს, შეიძლება თუ არა ამ კაუჭების გაშვება. სწორედ ეს კომბინაცია ხდის უცხო პროფილს ღირსეულს სტრიქონ-სტრიქონ წაკითხვად, ორმაგი დაწკაპუნების ნაცვლად. კლიენტი გააკეთებს ზუსტად იმას, რასაც ფაილი ამბობს, და გააკეთებს ამას თქვენი უფლებებით.

მარშრუტიზაციის ცვლილებები ერთი კავშირის შემდეგ ჩანს

სრული გვირაბის პროფილი აყენებს მარშრუტებს, რომლებიც ყველაფერს კარიბჭის გავლით აგზავნის, ხოლო გაყოფილი გვირაბის პროფილი მხოლოდ შერჩეულ პრეფიქსებს აგზავნის. ზოგიერთი პროფილი DNS სერვერსაც უბიძგებს, რაც ჩუმად ცვლის, ვინ ხედავს თქვენს მოთხოვნებს. აქედან არცერთი თავისთავად ბოროტი არ არის და არცერთი არ არის ფაილის სახელიდან აშკარა.

შეადარეთ მარშრუტების ცხრილი პირველ კავშირამდე და მის შემდეგ და ერთი შეხედვით დაინახავთ განზრახვას. პროფილი, რომელიც რეკლამირებულია როგორც ერთ შიდა აპლიკაციაზე წვდომა, მაგრამ უფრო ფართო ნაგულისხმევ მარშრუტს აყენებს, რაღაცას გეუბნებათ მის ავტორზე.

ნდობის მასალა და კაუჭები ატარებს ნამდვილ სიმძიმეს

პროფილს შეუძლია VPN კლიენტს ნდობის ინფორმაცია მისცეს, და პლატფორმის კონფიგურაციის პაკეტს შეუძლია უფრო შორს წავიდეს და სერტიფიკატი ან ფესვი სისტემურ საცავში ჩადგას. ეს სხვადასხვა არეებია სხვადასხვა შედეგებით. კლიენტის არეში მდგომი შემთხვევა ერთი აპლიკაციის ვალიდაციაზე მოქმედებს; სისტემური შემთხვევა ყველაფერზე მოქმედებს, რაც პლატფორმის ნდობის საცავს იყენებს.

სკრიპტის კაუჭები და დანამატები მეორე ნახევარია. მითითება, რომელიც კავშირისას ბრძანებას უშვებს, ან კლიენტის პროცესში ჩატვირთული დანამატი, თქვენი უფლებები აქვს და კლიენტის იზოლაციიდან არაფერი. თუ იმ პროფილში, რომელიც არ მოგითხოვიათ, ასეთია, ეს კითხვაა მის გამომგზავნს.

არც ერთი კატეგორია ავტომატურად მტრული არ არის. კორპორატიული განლაგებები ორივეს იყენებს. აზრი ისაა, რომ თითოეული მოითხოვს ახსნას, რომელიც შეგიძლიათ შეამოწმოთ.

შეამოწმეთ წარმომავლობა, შემდეგ შეიყვანეთ საიდუმლო

დაადგინეთ, ვინ გასცა ფაილი, იმ არხის გავლით, რომელსაც უკვე ენდობით და არა იმ შეტყობინების გავლით, რომელმაც ის მოგიტანათ. შეადარეთ საბოლოო წერტილის და სერტიფიკატის დეტალები ოპერატორის გამოქვეყნებულ დოკუმენტაციას. თუ პროფილი მოულოდნელად მოვიდა, მიიღეთ ახალი უშუალოდ ოპერატორისგან, ნაცვლად იმისა, რომ მოგცემული ასლი შეაკეთოთ. ჰკითხეთ, კლიენტის რომელ ვერსიას უჭერს მხარს ოპერატორი, რადგან იგივე ფაილი სხვა კლიენტმა შეიძლება სხვაგვარად განმარტოს.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

არასოდეს ჩადოთ პაროლი გაურკვეველ ველში იმის სანახავად, მუშაობს თუ არა, და არასოდეს მიიღოთ უცნობი უფლების მოთხოვნა მხოლოდ იმპორტის დასასრულებლად. წარმატებული კავშირი ამტკიცებს, რომ საბოლოო წერტილმა უპასუხა, მეტს არაფერს.

მოხსენით იმპორტირებული ასლი და არა ჩამოტვირთვა

კლიენტები პროფილს თავიანთ საცავში აკოპირებენ, ამიტომ ჩამოტვირთული ფაილის წაშლა იმპორტირებულ კავშირს აქტიურად ტოვებს. მოხსენით ის თავად კლიენტის ინტერფეისიდან და შეამოწმეთ, რომ იმპორტის დროს დამატებული ნებისმიერი სერტიფიკატიც გაქრა. შემდეგ დაადასტურეთ, რომ მის მიერ დაყენებული მარშრუტებიც გაქრა.

თუ სერტიფიკატი სისტემურ დონეზე დაყენდა, პროფილის მოხსნა საკმარისი არ არის. ეს გაწმენდა პლატფორმის ნდობის მართვას ეკუთვნის და ღირს განზრახ შესრულება, ნაცვლად იმისა, რომ შემდეგი გადატვირთვის იმედი გქონდეთ.