VPN профилиңизде жөндөөлөр гана эмес, жеке ачкыч да бар

VPN профилин форум темасына жабыштырган ар ким ушундай эле ишенимден баштайт. Файлда сервер дареги жана бир нече параметр гана бар, ошондуктан аны бөлүшүү телефон номерин бөлүшкөндөй сезилет. Анан бирөө аны окуйт да, төртүнчү саптан шифрленбеген жеке ачкычты табат.

Профиль туннель жөнүндө документ эмес. Ал туннелдин инсандыгы, жазылган.

Файлдагы объектилердин жашыруундуулук деңгээли бирдей эмес

Ачык CA сертификаты саякаттоо үчүн. Кардардын жеке ачкычы андай эмес. Экөө тең бир файлда көрүнгөндө, зыянсыз нерсе бүт тиркемени коопсуз көрсөтөт. Бул — тузак.

OpenVPN муну дизайны боюнча ого бетер начарлатат. Ал сертификаттарды, ачкычтарды жана аутентификация материалын түз киргизүүгө жол берет. Бул жайгаштырууга ыңгайлуу, бөлүшүүгө кырсыктуу. Окулуучу сертификат блогунен башталган файл жеке жарымына чейин уланат.

WireGuard бул жагынан түз. Интерфейс бөлүмү жеке ачкычты кармайт, ал эми ар бир peer үстүнө алдын ала бөлүшүлгөн ачкычты да кармай алат. Кайсы саптар маанилүү экенинде эч кандай бүдөмүктүк жок. Дээрлик ар бир сап маанилүү.

Скриншот — ошол эле агымдын башка форматтагы түрү

Конфигурацияны QR код катары коддоо аны алдын ала көрүүгө айландырбайт. Код ошол эле байттарды алып жүрөт, жана бөлмөдөгү каалаган телефон камерасы аны чече алат. Ушундай эле кардардын конфигурация терезесинин скриншотуна тиешелүү, анда ачкыч бурчта окулат.

Аутентификация файлдары жана шилтемеленген ачкыч жолдору ошол эле аудитке таандык. Сырткы файлды көрсөткөн профиль автоматтык түрдө коопсузураак эмес, анткени жол окурман жете турган жерге чыгышы мүмкүн. Аутентификация файлындагы токен сырсөздөй пайдалуу, жана ал сейрек сырсөзгө окшошот.

Ачкычты эмес, ката текстин жөнөтүңүз

Диагностикага ката тексти, кардардын версиясы жана сыналган параметрлердин аталыштары керек. Ачкыч керек эмес. Суроону ушул үч нерсе менен жазыңыз, жана файл машинаңыздан чыкпай туруп ар бир сырды жана ар бир керексиз тармактык идентификаторду алмаштырыңыз.

OpenVPNдин киргизилген файлдар тууралуу колдонмо бөлүмү бул объектилердин кайда экенин көрсөткөн пайдалуу карта. Ал ошондой эле бир профилдин канчасын кармай аларын эскертет.

# which lines in this profile look like secrets?
grep -n -E 'PrivateKey|PresharedKey|password|auth-user-pass|BEGIN .*PRIVATE KEY' wg0.conf

# OpenVPN: show the structure without printing key material
awk '/BEGIN/{print NR": "$0} /^[a-z-]+ /{print NR": "$1}' office.ovpn

Андан кийин түзөтүү тууралуу эсиңизге ишенбей, акыркы тиркемени окуңуз. Ачкычтар кийинки блоктордо, түзөтүлбөгөн комментарийде жана сиз структуралык деп чечкен сапта жашырылат.

Ачыкка чыккандан кийин ротация — жалгыз оңдоо

Жазууну өчүрүү эч нерсени жокко чыгарбайт. Файлды алган адамдагы эсептик маалымат дагы эле иштейт, ошондуктан чыгаруучу аны кызматтын өз процесси аркылуу жокко чыгарышы же алмаштырышы керек. Жергиликтүү көчүрмөнү өчүрүү алыскы жакта эч нерсени өзгөртпөйт.

Иштеген профилдерди корголгон ыкма менен сактаңыз жана эскирген импорттолгон жазууларды жүктөө папкасында үч көчүрмө калтыруунун ордуна атайылап өчүрүңүз. Эми колдонбогон профилиңиз жокко чыгарылганга чейин эсептик маалымат бойдон калат.

Калыптандырууга татыктуу адат кичине. Каалаган профиль машинадан чыкпас мурун, анда даректен башка эмне бар экенин сураңыз, жана эстеп калуу менен эмес, файлды окуп жооп бериңиз.