OpenVPN профилінің серверін импорттау алдында қалай тексеру керек

Біреу сізге профиль жібереді, сіз оны импорттайсыз, ал отыз секундтан кейін қандай да бір клиент ешкім тексермеген межелі орынға қоңырау шалып жатыр. Алдымен файлды мәтіндік редакторда оқыңыз, өйткені маңыздының бәрі бір уыс директивада: remote, proto, port, ca, cert, tls-crypt және verify-x509-name. Қалғанының бәрі әдепкі мәндер, ал таңғажайыптар дәл сонда тұрады.

Файл пайдалана алатын барлық соңғы нүктелерді тізіп шығыңыз

Соңғы нүктелерден бастаңыз, өйткені бір профильде бірнешеуі болуы мүмкін. grep -nE '^[[:space:]]*(remote|proto|port|remote-random|connection)' profile.ovpn әр кандидатты файл ретімен шығарады, соның ішінде кірістірілген <connection> блоктарының ішіндегілерді де.

Директива портты өткізіп жіберсе, клиент тыңдаушының әдепкі мәніне қайтады, сондықтан жалғыз remote vpn.example.com 1194 портын білдіреді, файлда кейінірек қандай proto кездессе де. Бірнеше қарапайым remote жолы балама болып табылады: клиент оларды ретімен сынайды, егер remote-random оларды араластырмаса, және ешқашан үнсіз басқа оператордың хостын алмастырмайды. Байланысы жоқ домендердегі екі remote жолы — тоқтап, қайсысы көзделгенін сұрайтын жер.

proto жазылуына да назар аударыңыз. tcp клиент жағындағы tcp-client синонимі ретінде қабылданады, бірақ клиент профиліндегі tcp-server таза сәтсіздікке емес, ілініп қалуға бейім конфигурация қатесі.

Алдымен атауды, содан кейін портты растаңыз

dig +short vpn.example.com атаудың бар-жоғын және қандай мекенжайларды қайтаратынын айтады, ал көп мекенжайлы немесе прокси артындағы соңғы нүкте бірнешеуін заңды түрде қайтаруы мүмкін. Атауды шешу алғышарт, меншік дәлелі емес; кез келген адам атауды мекенжайға бағыттай алады, ал бір мекенжай көп атауға жауап бере алады.

Содан кейін тапқан порттағы тыңдаушыны тексеріңіз, тасымалдау қабатына сәйкес. TCP арқылы openssl s_client -connect vpn.example.com:1194 -servername vpn.example.com сервер ұсынатын тізбекті шығарады. UDP арқылы сізге DTLS қажет: openssl s_client -dtls1_2 -connect vpn.example.com:1194 дәл сол қол алысуды датаграммалар арқылы орындайды. Аяқталған қол алысу бірдеңенің тыңдап, сертификат ұстап тұрғанын дәлелдейді, бұл ping көрсететіннен көп және профильдің өз сенім параметрлері талап ететіннен аз.

Қол алысу сәтсіз аяқталып, хост ping-ге жауап берсе, порт қате немесе сүзілген болуы ықтимал. Мұны дұрыс портты сұраудың себебі деп қабылдаңыз, жақын порттарды тазалауға шақыру деп емес. nc -vzu кейбір стектерде ештеңе тыңдамаса да сәттілік туралы хабарлайды, сондықтан артында қол алысусыз жалаң UDP сынағы ештеңе білдірмейді.

Сенім түйреуіштерін мекенжайдан бөлек оқыңыз

Мекенжай клиенттің қайда баратынын анықтайды; сенім блогы келген соң кімге сенетінін анықтайды. verify-x509-name "vpn.example.com" name субъектінің жалпы атауын бекітеді, ал remote-cert-tls server серверді аутентификациялау үшін кеңейтілген кілт қолданысын талап етеді. Оператор берген профиль екеуін де алып жүруі керек.

ca, кірістірілген <ca> блогын және tls-crypt немесе tls-auth іздеңіз. tls-auth қолданатын профильге клиентте key-direction 1 қажет, егер сервер жағы 0 бағытын қолданса, ал сәйкессіздік қол алысуды сертификат ақауына ұқсайтын TLS қатесімен сәтсіз етеді. Жаңа ғана атауын шешкен операторға тиесілі емес кірістірілген CA файлдың екі көзден құрастырылғанын білдіреді, және бұл батыл түрде қабылдамауға тұрарлық жағдай.

verify-x509-name name, name-prefix немесе subject режимдерін қабылдайды, ал соңғысы сервер басып шығаратын дәл сол ретпен толық айрықша атауды күтеді. Мәннің пішініне сай режим таңдаңыз, өйткені клиент жақын қате туралы ескертудің орнына әр қосылымды қабылдамайды. Сіз жазбаған файл үшін қарапайым хост атауымен name ең аз таңғалдыратын таңдау.

Үнсіз сәтсіз болатын опцияларды тексеріңіз

OpenVPN 2.6 шифрларды data-ciphers арқылы келіседі, ал тек ескі cipher AES-256-CBC жолын алып жүрген профиль басқару арнасын аяқтап, содан кейін деректерде тұрып қалуы мүмкін. Бұл мәнді оқу файлдың сіз қосылып жатқан серверден бұрын жасалғанын айтады; 2.6-ның нұсқаулық беті келісу ретін тізіп береді, егер оны операторға келтіру қажет болса.

Файл атауынсыз auth-user-pass клиент сұрайтынын білдіреді, сондықтан өзін-өзі қамтамасыз ететіндей көрінетін профильге де тіркелгі деректері қажет. auth-user-pass credentials.txt сізге жіберілмеген болуы ықтимал файлды күтетінін білдіреді. nobind мен resolv-retry infinite қарапайым және зиянсыз, ал explicit-exit-notify тек UDP үшін және TCP арқылы пайдасыз.

Бұлардың ешқайсысы профильдің қайда қосылатынын өзгертпейді, бірақ әрқайсысы оның мүлдем қосылатынын өзгертеді, және ешқайсысы клиенттің импорт диалогында көрінбейді.

Шешім қабылдаңыз, содан кейін нені шешкеніңізді жазыңыз

Бұл оқылымнан кейін үш нәтиже бар, тек біреуі ғана импорт. Соңғы нүкте мен түйреуіштер жеке арна арқылы алынған нұсқауларға сәйкес келсе, оны импорттаңыз. Соңғы нүкте дұрыс көрінсе, бірақ түйреуіштер немесе CA сәйкес келмесе, түзетілген файл сұраңыз. Файл әртүрлі көздердің соңғы нүктелерін немесе CA материалын араластырса, оны жойып, жаңа көшірме сұраңыз.

Тексерген хэшіңізді жазыңыз, келесі адам файлдың өзгергенін біле алсын: sha256sum profile.ovpn, жазбаларыңыздағы соңғы нүктенің жанына қойыңыз. Профиль — мекенжайлар тізімі емес, тұтас реттеу, сондықтан жұмыс істеп тұрған remote-ты олардың тіркелгі деректерін сақтай отырып, біреудің сенім блогына ешқашан қоспаңыз.

Жазбаларды салыстырып жатқанда жеке кілттер мен құпиясөздерді экран суреттерінен және чат ағындарынан тыс ұстаңыз. Соңғы нүкте мен құпия емес опциялар нақты сұрақ қоюға жеткілікті, ал қалғаны файлда қалуы керек.

Егер оны импорттасаңыз және бірінші әрекет сәтсіз болса, клиентті --verb 3-пен іске қосыңыз және алғашқы он жолды оқыңыз: шешілген remote мекенжайы, келісілген proto және TLS қатесі осы ретпен шығады, бұл жоғарыдағы тексерулердің қайсысын өткізіп жібергеніңізді айтады.