VPN профиліңізде тек параметрлер емес, жеке кілт те бар

Сервер мекенжайлары жеке кілттердің, ендірілген құпиялардың және токендердің қасында тұрады. Профильді қолдау тақырыбына қою алдында қай жолдардың сәйкестік екенін біліңіз.

VPN профилін форум тақырыбына қоятын әркім бірдей сенімнен бастайды. Файлда тек сервер мекенжайы мен бірнеше параметр бар, сондықтан оны бөлісу телефон нөмірін бөлісу сияқты сезіледі. Сосын біреу оны оқып, төртінші жолдан шифрланбаған жеке кілтті табады.

Профиль туннель туралы құжаттама емес. Ол туннельдің сәйкестігі, жазылған.

Файлдағы нысандардың құпиялылық деңгейі бірдей емес

Ашық CA сертификаты саяхаттауға арналған. Клиенттің жеке кілті олай емес. Екеуі бір файлда көрінгенде, қауіпсіз нұсқа бүкіл тіркемені қауіпсіз көрсетеді. Бұл — тұзақ.

OpenVPN мұны дизайны бойынша одан әрі нашарлатады. Ол сертификаттарды, кілттерді және аутентификация материалын тікелей ендіруге мүмкіндік береді. Бұл орналастыруға ыңғайлы, бөлісуге апатты. Оқылатын сертификат блогынан басталатын файл жеке жартысына жалғасады.

WireGuard бұл тұрғыда тікелейірек. Интерфейс бөлімі жеке кілтті ұстайды, ал әрбір peer оның үстіне алдын ала ортақ кілт те ұстай алады. Қай жолдардың маңызды екенінде ешбір екіұштылық жоқ. Барлық дерлік жол маңызды.

Скриншот — сол ағудың басқа форматтағы түрі

Конфигурацияны QR код ретінде кодтау оны алдын ала қарауға айналдырмайды. Код сол байттарды алып жүреді, және бөлмедегі кез келген телефон камерасы оны шеше алады. Солай клиенттің конфигурация терезесінің скриншотына да қатысты, онда кілт бұрышта оқылады.

Аутентификация файлдары мен сілтеме жасалған кілт жолдары сол аудитке жатады. Сыртқы файлға нұсқайтын профиль автоматты түрде қауіпсіз емес, өйткені жол оқырман жете алатын жерге шығуы мүмкін. Аутентификация файлындағы токен құпия сөздей пайдалы, және ол сирек құпия сөзге ұқсайды.

Кілтті емес, қате мәтінін жіберіңіз

Диагностикаға қате мәтіні, клиент нұсқасы және сыналған параметрлердің атаулары қажет. Кілт қажет емес. Сұрақты осы үш нәрсемен жазыңыз, және файл машинаңыздан шықпас бұрын әрбір құпияны және әрбір қажетсіз желілік идентификаторды ауыстырыңыз.

OpenVPN-нің ендірілген файлдар туралы нұсқаулық бөлімі осы нысандардың қайда орналасқанының пайдалы картасы. Ол сондай-ақ бір профильдің қаншасын ұстай алатынын еске салады.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Содан кейін түзету туралы жадыңызға сенудің орнына соңғы тіркемені оқыңыз. Кілттер кейінгі блоктарда, өңделмеген түсініктемеде және құрылымдық деп шешкен жолыңызда жасырылады.

Әшкерелеуден кейін ротация — жалғыз жөндеу

Жазбаны жою ештеңені жоймайды. Файлды алған адамда әлі жарамды тіркелгі деректері бар, сондықтан шығарушы оны қызметтің өз процесі арқылы кері қайтаруы немесе ауыстыруы керек. Жергілікті көшірмені жою алыс жақта ештеңені өзгертпейді.

Жұмыс профильдерін қорғалған әдіспен сақтаңыз және ескірген импортталған жазбаларды жүктеу қалтасында үш көшірме қалдырудың орнына әдейі жойыңыз. Енді пайдаланбайтын профиліңіз кері қайтарылғанша тіркелгі деректері болып қалады.

Қалыптастыруға тұрарлық әдет шағын. Кез келген профиль машинадан шықпас бұрын, онда мекенжайдан басқа не бар екенін сұраңыз, және оны есте сақтаумен емес, файлды оқумен жауап беріңіз.

Қатысты мақалалар