Ką gali pakeisti perduotas VPN profilis jūsų įrenginyje

Perduoti klientui VPN profilį reiškia perduoti kito žmogaus parašytą konfigūraciją, kurią ta programa vėliau vykdo jūsų kompiuteryje. Jį importavus gali pasikeisti, kur eina apimtas srautas, kuo jūsų įrenginys pasitiki ir kai kuriais formatais — kurios vietinės programos paleidžiamos, kai tunelis pakyla. Failas nėra žymė; tai maža programa deklaratyviu formatu.

Skaitykite jį taip, kaip skaitytumėte to paties šaltinio apvalkalo scenarijų.

Jį aiškina klientas, o ne jūs

Kiekvienas failo laukas yra nurodymas konkrečiam klientui. Galinis taškas ir protokolas nusprendžia, kur eina tunelis, autentifikavimo blokas nusprendžia, kokios paslapties reikalaujama, o maršrutų direktyvos nusprendžia, kas į jį patenka. Sertifikatai ar privatus raktas gali būti įterpti kaip blokai, o ne nurodyti kaip failai, todėl vienas teksto failas kartais neša viską, ko reikia, kad kas nors prisistatytų kaip jūs priešais tinklų sietuvą. Būtent ši savybė daro atsitiktinį failų bendrinimą tokį pavojingą.

OpenVPN profiliai taip pat gali nešti scenarijų kabliukus, papildinių kelius ir saugumo lygį, kuris nustato, ar tie kabliukai gali vykti. Būtent šis derinys daro nepažįstamą profilį vertą skaityti eilutę po eilutės, o ne dukart spustelėti. Klientas padarys būtent tai, kas parašyta faile, ir padarys tai su jūsų teisėmis.

Maršrutų pakeitimai matomi po vieno prisijungimo

Viso tunelio profilis įdiegia maršrutus, kurie viską siunčia per sietuvą, o skaidyto tunelio profilis siunčia tik pasirinktus prefiksus. Kai kurie profiliai taip pat stumia DNS serverį, o tai tyliai pakeičia, kas mato jūsų užklausas. Nė vienas iš to nėra savaime kenkėjiškas, ir nė vienas iš to nėra akivaizdus iš failo pavadinimo.

Palyginkite maršrutų lentelę prieš pirmą prisijungimą ir po jo ir vienu žvilgsniu pamatysite ketinimą. Profilis, reklamuojamas kaip prieiga prie vienos vidinės programos, bet įdiegiantis platesnį numatytąjį maršrutą, kai ką pasako apie savo autorių.

Tikrąjį svorį neša pasitikėjimo medžiaga ir kabliukai

Profilis gali pateikti VPN klientui pasitikėjimo informaciją, o platformos konfigūracijos paketas gali nueiti toliau ir įdiegti sertifikatą arba šaknį sistemos saugykloje. Tai skirtingos apimtys su skirtingomis pasekmėmis. Kliento apimties atvejis veikia vienos programos patikrinimą; sistemos apimties atvejis veikia viską, kas naudoja platformos pasitikėjimo saugyklą.

Scenarijų kabliukai ir papildiniai yra kita pusė. Direktyva, kuri prisijungus paleidžia komandą, arba į kliento procesą įkeltas papildinys, turi jūsų teises ir nieko iš kliento izoliacijos. Jei profilyje, kurio neprašėte, yra toks, tai klausimas tam, kas jį atsiuntė.

Nė viena iš dviejų kategorijų nėra automatiškai priešiška. Įmonių diegimai naudoja abi. Esmė ta, kad kiekviena reikalauja paaiškinimo, kurį galite patikrinti.

Patikrinkite kilmę, tada įveskite paslaptį

Nustatykite, kas išdavė failą, kanalu, kuriuo jau pasitikite, o ne per žinutę, kuri jį pristatė. Palyginkite galinio taško ir sertifikato duomenis su operatoriaus paskelbta dokumentacija. Jei profilis atėjo neprašytas, gaukite naują tiesiogiai iš operatoriaus, o ne taisykite jums duotą kopiją. Paklauskite, kurią kliento versiją operatorius palaiko, nes tą patį failą kitas klientas gali interpretuoti kitaip.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

Niekada nedėkite slaptažodžio į nepaaiškintą lauką, kad pamatytumėte, ar jis veikia, ir niekada nepriimkite nepažįstamo teisių prašymo vien tam, kad užbaigtumėte importą. Sėkmingas prisijungimas įrodo, kad galinis taškas atsakė, ir nieko daugiau.

Pašalinkite importuotą kopiją, o ne atsisiuntimą

Klientai nukopijuoja profilį į savo saugyklą, todėl ištrynus atsisiųstą failą importuotas ryšys lieka aktyvus. Pašalinkite jį per paties kliento sąsają ir patikrinkite, ar dingo ir importo metu pridėtas sertifikatas. Tada patvirtinkite, kad dingo ir jo įdiegti maršrutai.

Jei sertifikatas buvo įdiegtas sistemos apimtimi, profilio pašalinti nepakanka. Tas valymas priklauso platformos pasitikėjimo valdymui, ir verta tai padaryti sąmoningai, o ne tikėtis, kad kitas perkrovimas tuo pasirūpins.