OpenVPN profilio perkeliamumas: perkeliami raktai ar platformos parinktys

Tas pats .ovpn failas viename kliente atidaro tunelį, o kitame nepaleidžiamas, ir sertifikatas paprastai būna pirmasis įtariamasis. Dažniau faile yra direktyva, kurią įgyvendina tik vienas variklis. Profilis yra sutartis su konkrečiu klientu, o ne perkeliamas scenarijus.

Atskirkite, kas keliauja su tapatybe, nuo to, kas priklauso platformai. Tada gedimas paprastai pats save įvardija.

Vienas failas, dvi sutartys

Profilis sujungia trijų rūšių turinį: tapatybės medžiagą, pavyzdžiui, CA ir kliento sertifikatus bei privatų raktą, transporto faktus, pavyzdžiui, nuotolinį galinį tašką ir protokolą, ir elgsenos direktyvas, pavyzdžiui, DNS tvarkymą ar įrenginio parinktis. Pirmieji du yra plačiai perkeliami tarp variklių, palaikančių tą patį protokolą. Trečiasis yra vieta, kur įgyvendinimai išsiskiria. Viso failo traktavimas kaip vieno perkeliamo vieneto ir sukelia painius gedimus.

Failas, kuris veikia vienos platformos GUI, nebūtinai galioja kitos platformos komandinės eilutės klientui. Net kai abu yra OpenVPN, analizatoriai ir parinkčių rinkiniai skiriasi. Todėl sėkmingas importavimas nėra perkeliamo profilio įrodymas.

Perkeliama medžiaga prieš platformos direktyvas

Tapatybės ir transporto skyriai yra saugotina dalis. ca, cert, key ir remote aprašo, kas ir kur jungiasi, ir jie reiškia tą patį kiekvienam atitinkančiam klientui.

Elgsenos direktyvos yra lygintina dalis. block-outside-dns, pavyzdžiui, egzistuoja tam, kad pakeistų DNS elgseną Windows sistemoje. Unix klientas gali jos visai neatpažinti.

Skaitykite priimančio kliento parinkčių sąrašą, o ne siunčiančiojo. OpenVPN 2.6 žinynas dokumentuoja variklio parinktis, o GUI importavimo dialogas nėra tas sąrašas.

Pirmiau perskaitykite analizatoriaus klaidą, paskui sertifikatą

Klaida, įvardijanti neatpažintą parinktį, yra analizatoriaus gedimas, o ne autentifikavimo gedimas. Ryšys niekada nepasiekė TLS, todėl sertifikatų keitimas nepadės. Perskaitykite pirmąją klaidą iš tikrojo kliento ir versijos, tada pašalinkite arba pakeiskite tik tą direktyvą, kurios tas klientas negali įgyvendinti. Sertifikato ar maršrutų skyrių trynimas, kad failas įsikeltų, yra kelias, kuriuo veikiantis profilis tampa nesaugus.

Jei klaida mini rankos paspaudimą, sertifikatą ar šifrą, profilis buvo išanalizuotas, o problema yra kitur.

Laikykite originalų failą šalia pritaikytojo. Kai pritaikytasis failas vėliau sugenda, originalas yra kontrolė, parodanti, ar pajudėjo pakeitimas, ar aplinka.

Privilegijos yra antroji riba

Privilegijos yra kita riba: tunelio įrenginio kūrimas, maršrutų diegimas ir privataus rakto skaitymas priklauso nuo vietinių leidimų. Rakto failas, kurį gali skaityti tik root, yra įprastas diegimas, o ne profilio defektas. Pataisa priklauso nuosavybei arba galimybėms, o ne failui.

Kliento paleidimas su sudo gali išspręsti vietinį leidimo atsisakymą, ir jis negali pridėti direktyvos, kurios dvejetainis failas neįgyvendina. Jis taip pat keičia, kurio naudotojo raktinė, konfigūracijos keliai ir tinklo tvarkyklės kontekstas galioja, todėl rezultatas nėra tas pats bandymas.

Pritaikykite sąmoningai

Kai tiekėjas skelbia atskirus profilius, imkite skirtą priimančiam klientui. Kitos platformos failo pritaikymas yra paskutinė išeitis. Tam reikia kiekvienos pakeistos parinkties įrašo ir originalo kopijos.

Tikrinkite tapatybę, maršrutizavimą ir DNS kaip tris atskirus rezultatus. Profilis, kuris autentifikuoja ir maršrutizuoja, bet sugadina vardų skyrimą, yra iš dalies pritaikytas profilis, o ne veikiantis.