Кілттерді жарияламай екі OpenVPN профилін салыстыру

Мәтіндік diff кірістірілген кілттерді өзгертілген директиваны көрсеткендей оңай аша алады. Қорғалған көшірмелерде рөл бойынша салыстырыңыз, содан кейін бөлек редакцияланған диагностикалық файл жасаңыз.

Екі профиль, біреуі қосылады, екіншісі қосылмайды, және себебін көрудің жылдам жолы — diff. Мәселе мынада: сол diff кірістірілген жеке кілтті, статикалық кілтті және файл таситын кез келген тіркелгі деректері блогын басып шығарады, ал адамдар байқамай тұрып шығысты чатқа қояды. Нені салыстырып жатқаныңызды шешу команданы іске қосудан бұрын келеді. Қорғалған көшірмелерде құрылым мен рөлдерді салыстырыңыз, ал басқа біреу көруі керек болса, бөлек редакцияланған файл жасаңыз.

.ovpn файлы шын мәнінде не тасиды

.ovpn файлы — қосымша кірістірілген блоктары бар конфигурация. Ол CA сертификатын, клиент сертификатын, жеке кілтті, tls-auth немесе tls-crypt кілтін, сондай-ақ сыртқы файлдарға сілтейтін немесе тіркелгі деректерін сұрайтын директиваларды ұстай алады. Екі файл бірдей дерлік көрініп, тек блоктың ішінде ғана ерекшеленуі мүмкін, немесе тасымалды толығымен өзгертетін бір директивада ерекшеленуі мүмкін. Жол саны осылардың қайсысы болғанын айтпайды.

Кілт блогының ішіндегі айырмашылық ешнәрсенің жария дәлелі емес. Қайта берілген сертификат пен жаңа кілті бар сертификат бірдей пішіндегі өзгеріс бере алады, сондықтан блоктың сәйкессіздігі материалдың басқа екенін айтады, қай шешім оны тудырғанын емес. Оны өрістерді салыстыру сигналы ретінде қабылдаңыз, тұжырым ретінде емес.

Жол бойынша емес, рөл бойынша салыстырыңыз

Қосылымның өз ретін ұстаныңыз: алдымен соңғы нүкте мен тасымал, содан кейін сенім және күтілетін сәйкестік, содан кейін пайдаланушы аутентификациясы, содан кейін маршруттар, DNS және скрипт ілгектері. Бұл тізбек клиент істейтінімен сәйкеседі, сондықтан кездесетін алғашқы айырмашылық — қосылымды бұзуы мүмкін бірінші нәрсе. Әліпби бойынша салыстыру керісінше байланысты параметрлерді бүкіл шығысқа шашады.

Өрістерге мұқият қарайтын өту бұл элементтерді осы ретпен қарайды. Клиент интерактивті түрде сұрайтынның бәрі сенім жолдарына емес, аутентификация жолына жатады.

  • remote, proto және порт, әрбір қосылым блогын қоса.
  • ca және cert: шығарушы, тақырып және мерзімінің аяқталуы.
  • Жеке кілттің мүлдем бар-жоғы, ешқашан оның ішінде не бар екені емес.
  • tls-auth немесе tls-crypt болуы және кілт бағыты.
  • Аутентификация директивалары, тіркелгі деректері файлына кез келген сілтемені қоса.
  • Қосылу кезінде іске қосылатын маршруттар, DNS параметрлері және скрипт ілгектері.

Файл бірнеше қосылым блогын ұстағанда, әр опцияны өз соңғы нүктесімен бірге ұстаңыз. Тек бірінші remote жолды салыстыру клиенттің осы желіде шын мәнінде таңдайтын баламасын жіберіп алуы мүмкін.

Неліктен қарапайым diff дұрыс құрал емес

Қарапайым diff мәтінге арналған, құпияларға емес. Ол жеке кілтті экран тарихына қуана басып шығарады және қарап отырған директиваңыздың ақауға қатысы жоқ екенін айтпайды. Өрістерді шығару бір мезгілде қауіпсіз әрі оқуға жеңіл, өйткені сертификат материалын байт ретінде емес, метадеректер ретінде салыстыруға болады.

openssl x509 -in ca.crt -noout -subject -issuer -enddate
openssl x509 -in client.crt -noout -subject -issuer -enddate
grep -E '^(remote|proto|port|tls-auth|tls-crypt|route|dhcp-option)' profile.ovpn

Алғашқы екі команда кілтке тимей сәйкестік пен жарамдылықты басып шығарады, сондықтан олардың шығысын қою қауіпсіз. grep директива аттары мен мәндерін басып шығарады, бірақ блок денелерін ешқашан басып шығармайды, бұл оны тасымал немесе маршруттау айырмашылығына күдіктенгенде дұрыс бірінші өтуге айналдырады. Егер блоктың өзін салыстыру қажет болса, мазмұнның орнына оның хэшін салыстырыңыз.

Тикет үшін редакцияланған көшірме жасаңыз

Айырмашылықты түсіндіруге жеткілікті өріс аттары мен құрылымды сақтай отырып, нақты құпиялар мен қажетсіз идентификаторларды алып тастаңыз. Сол пішіндегі маркер материалдың қайда тұрғанын және қаншалықты ұзын болғанын әлі де ашады, сондықтан соның өзі қолайлы ма, оны шешіңіз. Есіңізде қалған командаға сенудің орнына соңғы тіркеменің өзін тексеріңіз. Тек мысал жасау үшін жұмыс түпнұсқасын өңдемеңіз, өйткені редакцияланған профиль міндетті түрде орындалатын емес және оны қайта импорттауға ешқашан болмайды.

Түпнұсқаларды ұқсас атаулы үш қалтаға көшірудің орнына файл аты мен хэші бойынша танылатын күйде ұстаңыз. Хэш жолы қай файл қаралғанын дәлелдеуге жетеді және тарап кетсе, ештеңе тұрмайды. Өзгеріс жабылған соң көшірмелерді қысқартыңыз, келесі адам бір ғана беделді файлды мұралансын.

Салыстыруды ақауға байлап ұстаңыз

Салыстыру өз құнын бір импорт немесе бір қосылым ақауы туралы сұраққа жауап бергенде ақтайды. Алдымен сәтсіз қадамды атаңыз, содан кейін сол қадамға тәуелді өрістерді ғана салыстырыңыз; клиенттің барлық тіркелгі деректерін бір қалтаға жинау келесі ағып кетуді ықтималдырақ, келесі диагностиканы баяуырақ етеді. Сұрақ неғұрлым тар болса, оған жауап бере алатын өрістер тізімі соғұрлым қысқа.

Егер жаңа файл оператордан келсе, сенім материалын ауыстырмас бұрын оның тарату жолын растаңыз. Өзгерістен кейін клиент шын мәнінде таңдаған импортталған көшірмені және келісілген нәтижені тексеріңіз, өйткені директиваны басқа клиент нұсқасы елемеуі немесе басқаша оқуы мүмкін. Дискідегі файл іске қосылған қосылымның дәлелі емес. Директивалардың семантикасы OpenVPN 2.6 нұсқаулығында.

Қатысты мақалалар