Белгисиз OVPN файлдары: жергиликтүү тобокелдик жана алыскы ишеним

OVPN файлын программанын кириши катары караңыз, анын мазмуну зыянсыз деген күбөлүк катары эмес. Сервер дарегин текшерүү профилдин кайда туташууну каалаарын гана жооп берет, башка эч нерсени эмес. Ошол файлдын ичинде ишенимдин эки өзүнчө чечими бар: клиент машинаңызда эмне кыла алат жана кайсы оператор трафикти алат. Тааныш протокол аталышы экөөнү тең чечпейт.

Бир файлда эки чечим жашырылган

Биринчи чечим жергиликтүү. Профиль конфигурация тили, аны окуган клиент плагин жүктөгөн, скрипт иштеткен же маршруттоо менен DNS кантип колдонулаарын өзгөрткөн директиваларды колдошу мүмкүн. Экинчи чечим алыскы. Файлда эмне болбосун, чыгуу оператору өзүнө жеткен трафикти көрөт.

Экөөнү аралаштыруу эки тарапка тең жаман кеңеш берет: белгисиз оператордон таза көрүнгөн профиль, же эч ким окубаган илгичи бар белгилүү оператордун профили. Жергиликтүү түрдө коопсуз профиль да трафигиңизди өзүңүз тандабаган адамга бере алат.

Профилди каалаган клиенттен мурун окуңуз

Файлды каалаган клиент иштетүүдөн мурун текст катары окуңуз. Файлдын сыртын көрсөткөн, аткарылуучу файлдарга шилтеме жасаган же артыкчылыктарды өзгөрткөн директиваларды издеп, ошол тизмени клиенттин документтелген колдоосу менен салыштырыңыз. Кыска издөө коопсуздук аудити эмес, бирок профиль серверлер тизмесиби же андан көбүрөөк нерсеби экенин айтат.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Бош жыйынтык тынчтандырат жана чечүүчү эмес, анткени опциялар өз ара аракеттениши же кошулган файлдан келиши мүмкүн. Чыпкаланган тизмени андан ары окууга себеп деп эсептеңиз, өкүм деп эмес.

Профиль менен келген нускамалар профилдин өзүндөй эле текшерүүгө татыктуу. Төрт өтүнүч сизди токтотушу керек: скрипттерди күйгүзүү, жардамчы же китепкана орнотуу, клиентти администратор катары иштетүү же импорт чектөөсүн алсыратуу. Алардын ар бири ишеним чек арасын сыртка жылдырат жана эч бири серверлер тизмесин импорттоонун кадимки бөлүгү эмес.

Бүт файлды да бир жолу окуп чыгыңыз, анткени бир тааныш эмес сапты тексттин ичинде баалоо чыпкаланган тизмеге караганда оңой. Сап тааныш эмес болсо, божомолдоонун ордуна клиентиңиздин нускамасынан издеңиз.

Клиент чындыгында эмнени аткарат

Community OpenVPN 2.6 нускамасы script-security баскычтарын документтейт: 1-деңгээл демейки жана колдонуучу аныктаган скрипттерди бөгөттөйт, ал эми 2-деңгээл аларга уруксат берет. Плагиндерди жүктөө өз директивасы бар өзүнчө механизм. Ошондуктан бир эле файл ар кайсы клиенттерде ар башка нерсени билдириши мүмкүн. Мобилдик жана өндүрүүчү клиенттери тарыраак директивалар топтомун кабыл алышы мүмкүн, же илгичтердин эч бирин.

Иштетүү ыкмасы клиенттей эле маанилүү. Артыкчылыгы бар жардамчы иштеткен профиль колдонуучу мейкиндигинде иштетилгенден көбүрөөк иштей алат, жана бул айырма импорт билдирүүсүн этибарга албай коюунун ордуна окууга себеп.

Версия да маанилүү, анткени бул деңгээлдер ар бир чыгарылыш үчүн аныкталат жана бир нече версия артта калган клиент ошол эле саясатты колдонбошу мүмкүн. Өзүңүз иштеткен курулушка туура келген нускаманы окуңуз, тапкан эң жаңысын эмес. Клиент эч жерде версия сабын көрсөтпөсө, бул эле жайлоого себеп.

Операторду салыштырыңыз, даректи гана эмес

Операторлорду каалаган башка ортомчуну салыштыргандай салыштырыңыз. Чыгууну ким башкарат, эмнени журналга жазат жана профиль сизге кантип келди деп сураңыз. Текшерилген жүктөө барагы жана дал келген манжа изи тааныш хост атынан көбүрөөк айтат. Жетүүгө боло турган сервер бир нерсе жооп бергенин гана далилдейт.

Каттоо маалыматтары — адамдар басым астында жаңылышкан бөлүк. Сервердин аты тааныш көрүнгөнү үчүн жүктөлгөн профилге байланышы жок эсептин сырсөзүн тербеңиз. Профиль ачык түрдө жеке ачкычты да алып жүрүшү мүмкүн, ошондуктан бүт файлды кароо темасында жарыялоо ошол ачкычты темага берет.

Туура валидацияланган HTTPS сессиясы барактын мазмунун пакеттерди гана өткөрүп жаткан ар кимден жашырат, ошондуктан чыгуу ар бир сырсөздү автоматтык түрдө көрбөйт. Бирок кайсы сайттарга жеткениңизди көрөт, жана бул чекти ашыра айтуунун ордуна так айтуу керек.

Файлдын келип чыгышы белгисиз бойдон калса же ал талап кылган артыкчылыктын сиз кабыл ала турган түшүндүрмөсү жок болсо, профилди эсеп бере ала турган булактан келген профиль менен алмаштырыңыз. Башкарылуучу жумуш байланышында администратор клиент менен конфигурацияны эки эмес, бир чечим катары бекитиши керек. Бул жерде эч нерсе адегенде жаман ниетти далилдөөнү талап кылбайт; кирүүдөн баш тартуу — мыйзамдуу жооп.