넘겨받은 VPN 프로파일이 기기에서 바꿀 수 있는 것

클라이언트에 VPN 프로파일을 넘기는 것은 다른 사람이 작성한 설정을 넘기는 일이며, 그 프로그램은 그것을 당신의 기기에서 실행합니다. 가져오면 보호된 트래픽이 어디로 가는지, 기기가 어느 상대를 신뢰하는지, 그리고 일부 형식에서는 터널이 올라올 때 어떤 로컬 프로그램이 실행되는지가 바뀔 수 있습니다. 이 파일은 북마크가 아니라 선언형 형식으로 쓰인 작은 프로그램입니다.

같은 출처에서 온 셸 스크립트를 읽듯이 읽으세요.

그것을 해석하는 것은 클라이언트이지 당신이 아닙니다

파일의 각 필드는 특정 클라이언트에 대한 지시입니다. 엔드포인트와 프로토콜은 터널이 어디로 가는지를, 인증 블록은 어떤 비밀이 요구되는지를, 경로 지시문은 무엇이 그 안으로 들어가는지를 정합니다. 인증서나 개인 키는 파일로 참조되는 대신 블록으로 내장될 수 있으며, 그래서 하나의 텍스트 파일이 때로 게이트웨이 앞에서 당신을 사칭하는 데 필요한 모든 것을 담기도 합니다. 바로 그 성질이 무심한 파일 공유를 이토록 위험하게 만듭니다.

OpenVPN 프로파일은 스크립트 후크, 플러그인 경로, 그리고 그 후크의 실행 허용 여부를 규정하는 보안 수준도 담을 수 있습니다. 그 조합 때문에 낯선 프로파일은 두 번 클릭하는 대신 한 줄씩 읽을 가치가 있습니다. 클라이언트는 파일이 말한 그대로 수행하며, 그것을 당신의 권한으로 수행합니다.

라우팅 변경은 한 번 연결하면 보입니다

전체 터널 프로파일은 모든 것을 게이트웨이로 보내는 경로를 설치하고, 분할 터널 프로파일은 선택된 접두사만 보냅니다. 일부 프로파일은 DNS 서버까지 밀어 넣는데, 그것은 당신의 질의를 누가 보는지를 조용히 바꿉니다. 어느 것도 그 자체로 악의적이지 않고, 어느 것도 파일 이름만으로는 분명하지 않습니다.

첫 연결 전후의 라우팅 표를 비교하면 의도가 한눈에 보입니다. 하나의 사내 앱에 대한 접근으로 광고되지만 더 넓은 기본 경로를 설치하는 프로파일은 만든 이에 대해 무언가를 말해 줍니다.

진짜 무게를 지는 것은 신뢰 자료와 후크입니다

프로파일은 VPN 클라이언트에 신뢰 정보를 제공할 수 있고, 플랫폼 구성 패키지는 더 나아가 인증서나 루트를 시스템 저장소에 설치할 수 있습니다. 이것은 결과가 다른 서로 다른 범위입니다. 클라이언트 범위의 경우는 한 앱의 검증에 영향을 주고, 시스템 전역의 경우는 플랫폼의 신뢰 저장소를 쓰는 모든 것에 영향을 줍니다.

스크립트 후크와 플러그인은 나머지 절반입니다. 연결 시 명령을 실행하는 지시문이나 클라이언트 프로세스에 적재된 플러그인은 당신의 권한을 가지며 클라이언트의 격리는 전혀 갖지 않습니다. 요청하지 않은 프로파일에 그런 것이 들어 있다면, 그것은 보낸 사람에게 할 질문입니다.

두 범주 중 어느 것도 자동으로 적대적이지 않습니다. 기업 배포는 둘 다 사용합니다. 요점은 각각이 당신이 확인할 수 있는 설명을 요구한다는 것입니다.

출처를 확인한 다음 비밀을 입력하세요

파일을 누가 발급했는지를 이미 신뢰하는 경로로 확인하세요, 그것을 전달한 메시지로가 아니라. 엔드포인트와 인증서 세부 정보를 운영자가 공개한 문서와 대조하세요. 요청하지 않은 프로파일이 도착했다면 받은 사본을 고치는 대신 운영자에게서 직접 새것을 받으세요. 운영자가 지원하는 클라이언트 버전을 물어보세요, 같은 파일이라도 다른 클라이언트는 다르게 해석할 수 있습니다.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

작동하는지 보려고 설명되지 않은 필드에 비밀번호를 넣지 말고, 가져오기를 끝내기 위해서만 낯선 권한 요청을 받아들이지 마세요. 성공한 연결은 엔드포인트가 응답했다는 것을 증명할 뿐입니다.

다운로드가 아니라 가져온 사본을 제거하세요

클라이언트는 프로파일을 자기 저장소로 복사하므로, 내려받은 파일을 지워도 가져온 연결은 활성 상태로 남습니다. 클라이언트 자체의 인터페이스에서 제거하고, 가져오는 동안 추가된 인증서도 사라졌는지 확인하세요. 그다음 설치된 경로도 사라졌는지 확인하세요.

인증서가 시스템 범위에 설치되었다면 프로파일을 제거하는 것만으로는 충분하지 않습니다. 그 정리는 플랫폼의 신뢰 관리에 속하며, 다음 재부팅이 처리해 주기를 바라기보다 의도적으로 하는 편이 좋습니다.