Är .ovpn-Datei kann Code ausféieren, net just Verkéier leeden

Déi meescht Leit liesen eng .ovpn-Datei wéi si d'Ästellungsäit vun engem Router liesen: Adressen, Routen, eng Lëscht vu Chiffren. Den Deel, dee Code ausféiert, sëtzt no beim Enn, niewent Direktiven, déi wéi Installatiounsarbecht ausgesinn, an hie leeft mat deene Privilegien, déi de Client schonn huet. Dat ass d'Lück, déi en oppasse genuch oder béiswëlleg Profil ausnotzt, an et ass och d'Lück, déi en hëllefräichen DNS-Helfer dräi Woche méi spéit an e Supportproblem ëmwandelt. D'Evenement-Direktiv, d'Sécherheetsniveau an d'Eegentum vun der Datei entscheeden, wat ka geschéien; den Inhalt vum Skript entscheet, wat tatsächlech geschitt. Liest all véier, ier Dir Iech verbënnt.

E Profil, deen en Helfer leeft, ass e Programm, net eng Ästellungsdatei

Direktive wéi route an dhcp-option beschreiwen den Zoustand, deen de Client soll opbauen, an de Client behandelt si als Donnéeën. En up-Skript ass anescht: de Client start en als Prozess a gëtt him eng Ëmwelt mat Verbindungsdetailer, sou datt alles, wat säin Auteur geschriwwen huet, mat de Rechter vun Ärem Kont leeft. Op engem Laptop, wou de Benotzer Administrateur ass, ass dat eng breet Dier fir eng Datei, déi als Uschloss oder als agefüügt Text aus engem Forumthread ukomm ass. Den Ënnerscheed ass net stilesch, et ass den Ënnerscheed tëscht Konfiguratioun a Code.

De Mythos, deen et ze begruewe gëllt, ass datt e Profil nëmmen de Verkéier ëmleede kann. En Helfer, deen ip route add ausféiert, an een, deen curl géint en entfernten Host ausféiert, sinn deeselwechte Mechanismus, an de Profil gesäit vun dobaussen d'selwecht aus. Näischt am Ausgesinn vun der Datei seet Iech, wéi en Dir hutt, dofir muss d'Iwwerpréiwung bis zum Skript selwer kommen.

Wat d'Ausféierung tatsächlech entscheet, an wéi déi aktivéierend Zeile ausgesinn

Dräi Saachen kontrolléieren en Helfer: d'Evenement-Direktiv, déi en nennt, de script-security-Niveau, deen en erlaabt, an d'Implementéierung vun der Client-Plattform selwer. En Profil kann en Hook froen an nach ëmmer näischt geschéien gesinn, well e mobilen Client oder en ofgespéckten Desktop-Build dee Evenement vläicht guer net ëmsetzt. Genee esou seet en Profil, deen méi Erlaabnis freet wéi seng Funktioun brauch, Iech eppes iwwer säin Urspronk. En Erlaabnisniveau ass eng Fäegkeet, keng Genehmegung. Déi aktivéierend Zeile gesinn esou aus, mam engem Pad, deen Ären duerstellt.

script-security 2
up /etc/openvpn/update-resolv-conf.sh
down /etc/openvpn/update-resolv-conf.sh

Niveau 0 refuséiert extern Programmer, an Niveau 1, de Standart, erlaabt nëmmen déi agebaut exekutabel Dateie vum Client, also brauch en Hook 2 oder méi héich; Niveau 3 gëtt et haaptsächlech fir al Passwierder weiderzeginn a sollt vermidde ginn. En Profil, dee mat engem Hook geliwwert gëtt, brauch souwuel d'Direktiv wéi och dee Niveau, dofir verdéngt eng Zeil no beim Enn vun der Datei déiselwecht Iwwerpréiwung wéi de Certificatsblock. Den OpenVPN-Handbuch zielt d'Erlaabnisniveauen op, an d'Wierder dovun ass et wäert niewent deem ze liesen, wat de Profil tatsächlech freet.

Eegentum, Pad a wéi de Helfer gefiddert gëtt

En Profil, deem Dir vertraut, awer op e Skript weist, deen en anert Kont kann iwwerschreiwen, ass keng vertrauenswierdeg Reegelung, well d'Iwwerpréiwung vun gëschter net méi beschreift, wat haut leeft. Kontrolléiert den Eegentümer an de Modus vum Helfer, a kontrolléiert datt de konfiguréierte Pad op d'Datei geet, déi Dir ënnersicht hutt, an net op en Numm, deen eppes anescht kann iwwerschaten. Argumenter an Ëmwelt verdéngen deeselwechte Bléck: de Client gëtt Verbindungsdetailer un den Hook, an en Helfer, deen seng ganz Ëmwelt protokolléiert, schreift vläicht Umeldungsdaten an en Supportticket. Preferéiert eng dokumentéiert Integratioun vum Bedreiwer oder der Plattform iwwer e DNS-Skript, dat aus engem onbezunnene Post kopéiert gouf, well zwee Resolver-Manager, déi ëm déiselwecht Datei streiden, en Ausfall produzéieren, deen ausgesäit wéi e kaputten VPN.

Wann Dir en ausgefallenen Hook mësst, redigéiert d'Ëmwelt, ier Dir se iergendwou afüügt. Den Dump, deen Iech beim Debugge hëlleft, kann och dat Token droen, dat Iech authentifizéiert.

Botzfehler erschéngen, nodeems den Tunnel fort ass

En up-Helfer setzt Routen an Resolver-Astellungen derbäi, an den down-Helfer soll se erëm ewechhuelen. Wann den down-Hook feelt, stëll ausfällt oder ni leeft, well de Client ëmbruecht gouf, iwwerliewe d'Reschter d'Sessioun. Den Verkéier hëlt dann e Wee, deen keen geplangt huet, an Nimm ginn iwwer e Resolver opgeléist, deen hätt missen ewechgeholl ginn, wärend den Tunnel selwer gesond ausgesäit. Dës Symptomer kommen no der Trennung, dofir gëtt d'Netzwierk beschëllegt an net de Profil.

Test d'Ofbauen als eege Schrëtt: hieft den Tunnel, notéiert d'Routen an de Resolver, loosst en erof, a bestätegt dann, datt béid fort sinn. En Profil, deen propper verbënnt, kann nach ëmmer Zoustand hannerloossen, an en Null-Exitcode vum Helfer beweist net, datt de Resolver do ukomm ass, wou Dir denkt.

Den Helfer iwwerpréiwen an en Auswee behalen

Liest de Skript vu Ufank bis Enn a sicht dräi Saachen: Kommandoen, déi Privilegien brauchen, haart kodéiert Paden, déi et op Ärem System vläicht net gëtt, an all Netzwierkaufruff, deen en mécht. Kuckt dann, wéi en ausfällt, well en Helfer, dee Feeler schléckt, e Konfiguratiounsfeeler an e Rätsel ëmwandelt. Wann Dir net an engem Saz ka sot, wat de Skript mécht a wien en ännere kann, sidd Dir net prett, en anzeschalten. En Profil, deen méi Privileg freet wéi dee Saz brauch, ass d'Signal fir opzehalen.

Hält de leschten funktionéierende Profil an den Helfer, op deen en verwisen huet, an enger geschützter Späicherplaz, mat béide Versiounen notéiert, sou datt en Zeréck eng Kopie ass an net en Neiopbau am schlëmmste Méiglechkeet. Wann den Helfer nëmme fir eng Verdeelung oder Client-Versioun existéiert, déi en net méi brauch, pensionéiert en an der Konfiguratioun, déi d'Astellung besëtzt, amplaz d'Privilegien ze hiewen, bis d'Feeler ophalen. Dat ass den Auswee: manner beweeglech Deeler, net méi Erlaabnis.