Сіздің .ovpn файлыңыз кодты орындай алады, тек трафикті маршруттамайды

Көптеген адамдар .ovpn файлын маршрутизатор параметрлері бетін оқығандай оқиды: мекенжайлар, маршруттар, шифрлар тізімі. Кодты орындайтын бөлік төменгі жақта, сантехника жұмысына ұқсайтын нұсқаулықтардың қасында орналасқан және клиентте бұрыннан бар қандай құқық болса, сонымен жұмыс істейді. Бұл — ұқыпсыз немесе зиянды профиль пайдаланатын олқылық, және бұл — пайдалы DNS көмекшісін үш аптадан кейін қолдау мәселесіне айналдыратын олқылық та. Оқиға нұсқаулығы, қауіпсіздік деңгейі және файлдың меншігі не бола алатынын шешеді; скрипт мазмұны іс жүзінде не болатынын шешеді. Қосылу алдында төртеуін де оқыңыз.

Көмекшіні іске қосатын профиль — бағдарлама, параметрлер файлы емес

route және dhcp-option сияқты нұсқаулықтар клиент орнатуы тиіс күйді сипаттайды, ал клиент оларды дерек ретінде қарастырады. up скрипті басқаша: клиент оны процес ретінде іске қосып, оған қосылым мәліметтеріне толы орта береді, сондықтан авторы жазғанның бәрі сіздің тіркелгіңіздің құқықтарымен жұмыс істейді. Пайдаланушы әкімші болып табылатын ноутбукта бұл тіркеме ретінде немесе форум тақырыбынан қойылған файл үшін кең есік. Айырмашылық стильдік емес, ол конфигурация мен код арасындағы айырмашылық.

Жоюға тұрарлық аңыз — профиль тек трафикті бағыттай алады. ip route add орындайтын көмекші мен қашықтағы хостқа қарсы curl орындайтыны — бір механизм, ал профиль сырттан бірдей көрінеді. Файлдың сыртқы түрінде қайсысы бар екенін айтатын ештеңе жоқ, сондықтан тексеру скрипттің өзіне жетуі керек.

Орындалуды шын мәнінде не анықтайды және рұқсат беретін жолдар қандай

Көмекшіні үш нәрсе басқарады: оны атайтын оқиға нұсқаулығы, оған рұқсат беретін script-security деңгейі және клиент платформасының өзіндік іске асырылуы. Профиль ілмек сұрап, бәрібір ештеңе болмайтынын көруі мүмкін, өйткені мобильді клиент немесе қысқартылған жұмыс үстелі құрастырмасы сол оқиғаны мүлде іске асырмауы ықтимал. Сол сияқты, өз функциясына қажеттен артық рұқсат сұрайтын профиль өз шығу тегі туралы бірдеңе айтады. Рұқсат деңгейі — мүмкіндік, мақұлдау емес. Рұқсат беретін жолдар осылай көрінеді, жол сіздікінің орнында тұрады.

script-security 2
up /etc/openvpn/update-resolv-conf.sh
down /etc/openvpn/update-resolv-conf.sh

0-деңгей сыртқы бағдарламалардан бас тартады, ал әдепкі 1-деңгей клиенттің кіріктірілген орындалатын файлдарына ғана рұқсат береді, сондықтан ілмекке 2 немесе одан жоғары қажет; 3-деңгей негізінен ескі құпия сөздерді беру үшін бар және одан аулақ болған жөн. Ілмекпен жеткізілген профильге нұсқаулық та, сол деңгей де қажет, сондықтан файлдың төменгі жанындағы бір жол сертификат блогы сияқты тексеруге лайық. OpenVPN нұсқаулығы рұқсат деңгейлерін тізіп береді, және оның тұжырымын профиль шын мәнінде сұрайтын нәрсемен қатар оқыған жөн.

Меншік, жол және көмекшіге не беріледі

Сіз сенетін, бірақ басқа тіркелгі қайта жаза алатын скриптке сілтейтін профиль сенімді келісім емес, өйткені кешегі тексеру бүгін не жұмыс істейтінін енді сипаттамайды. Көмекшінің иесі мен режимін тексеріңіз және конфигурацияланған жолдың сіз тексерген файлға апаратынын, ал басқа нәрсе көлеңкелей алатын атауға апармайтынын тексеріңіз. Аргументтер мен орта да сол көзқарасқа лайық: клиент қосылым мәліметтерін ілмекке береді, ал бүкіл ортасын журналға жазатын көмекші қолдау билетіне тіркелгі деректерін жазуы мүмкін. Оператор немесе платформа ұсынған құжатталған интеграцияны байланысы жоқ жазбадан көшірілген DNS скриптінен артық көріңіз, өйткені бір файл үшін таласатын екі шешуші менеджері бүлінген VPN-ге ұқсайтын ақау тудырады.

Сәтсіз ілмек туралы хабарлағанда, оны бір жерге қоюдың алдында ортаны редакциялаңыз. Жөндеуге көмектесетін дамп сізді аутентификациялайтын токенді де алып жүруі мүмкін.

Тазалау ақаулары туннель кеткеннен кейін пайда болады

up көмекшісі маршруттар мен шешуші параметрлерін қосады, ал down көмекшісі оларды қайта алып тастауы керек. down ілмегі жоқ болса, үнсіз сәтсіздікке ұшыраса немесе клиент өлтірілгендіктен ешқашан іске қосылмаса, қалдықтар сессиядан ұзақ өмір сүреді. Сонда трафик ешкім жоспарламаған жолмен жүреді және атаулар алынып тасталуы тиіс шешуші арқылы шешіледі, ал туннельдің өзі сау көрінеді. Бұл симптомдар ажыратылғаннан кейін пайда болады, сондықтан кінә профильге емес, желіге тағылады.

Бөлшектеуді жеке қадам ретінде сынап көріңіз: туннельді көтеріңіз, маршруттар мен шешушіні жазып алыңыз, түсіріңіз, содан кейін екеуі де кеткенін растаңыз. Таза қосылатын профиль де артында күй қалдыруы мүмкін, ал көмекшінің нөлдік шығу коды шешуші сіз ойлаған жерде аяқталғанын дәлелдемейді.

Көмекшіні қарау және шығу жолын сақтау

Скриптті басынан аяғына дейін оқып, үш нәрсені іздеңіз: құқық қажет ететін командалар, сіздің жүйеңізде болмауы мүмкін қатаң кодталған жолдар және жасайтын кез келген желілік шақыру. Содан кейін оның қалай сәтсіздікке ұшырайтынын қараңыз, өйткені қателерді жұтатын көмекші конфигурация қатесін жұмбаққа айналдырады. Егер скрипттің не істейтінін және оны кім өзгерте алатынын бір сөйлеммен айта алмасаңыз, оны қосуға дайын емессіз. Сол сөйлем талап ететіннен артық құқық сұрайтын профиль — тоқтау белгісі.

Соңғы жұмыс істеген профиль мен ол сілтеген көмекшіні қорғалған қоймада сақтаңыз, екі нұсқасын да белгілеп, қайтару қайта құру емес, көшірме болуы үшін. Егер көмекші оған енді қажет емес дистрибутив немесе клиент нұсқасы үшін ғана болса, қателер тоқтағанша құқықтарды көтерудің орнына оны сол параметрге ие конфигурацияда зейнеткерлікке шығарыңыз. Бұл — шығу жолы: қозғалмалы бөліктер азырақ, рұқсат көбірек емес.