Kā pārbaudīt OpenVPN profila serveri pirms tā importēšanas

Kāds jums atsūta profilu, jūs to importējat, un trīsdesmit sekundes vēlāk klients zvana uz galamērķi, kuru neviens nav pārbaudījis. Vispirms izlasiet failu teksta redaktorā, jo viss svarīgais ietilpst saujā direktīvu: remote, proto, port, ca, cert, tls-crypt un verify-x509-name. Viss pārējais ir noklusējuma vērtības, un tieši tur mīt pārsteigumi.

Uzskaitiet katru galapunktu, ko fails var izmantot

Sāciet ar galapunktiem, jo viens profils var saturēt vairākus. grep -nE '^[[:space:]]*(remote|proto|port|remote-random|connection)' profile.ovpn izdrukā katru kandidātu faila secībā, tostarp tos, kas ievietoti iekļautajos <connection> blokos.

Kad direktīva izlaiž portu, klients atgriežas pie klausītāja noklusējuma, tāpēc tikai remote vpn.example.com nozīmē portu 1194 ar jebkuru proto, kas vēlāk parādās failā. Vairākas vienkāršas remote rindas ir alternatīvas: klients tās izmēģina pēc kārtas, ja vien remote-random tās nesajauc, un nekad klusi neaizstāj cita operatora resursdatoru. Divas remote rindas nesaistītos domēnos ir vieta, kur apstāties un pajautāt, kura bija domāta.

Pievērsiet uzmanību arī proto rakstībai. tcp tiek pieņemts kā klienta puses tcp-client sinonīms, taču tcp-server klienta profilā ir konfigurācijas kļūda, kas biežāk pakaras, nevis tīri neizdodas.

Vispirms apstipriniet vārdu, pēc tam portu

dig +short vpn.example.com pasaka, vai vārds pastāv un kādas adreses tas atgriež, un galapunkts ar vairākām adresēm vai aiz starpniekservera var likumīgi atgriezt vairākas. Vārda atrisināšana ir priekšnoteikums, nevis īpašumtiesību pierādījums; ikviens var norādīt vārdu uz adresi, un viena adrese var atbildēt daudziem vārdiem.

Pēc tam pārbaudiet klausītāju atrastajā portā atbilstoši transporta slānim. Pa TCP openssl s_client -connect vpn.example.com:1194 -servername vpn.example.com izdrukā ķēdi, ko serveris uzrāda. Pa UDP jums vajag DTLS: openssl s_client -dtls1_2 -connect vpn.example.com:1194 veic to pašu rokasspiedienu datagrammu līmenī. Pabeigts rokasspiediens pierāda, ka kaut kas klausās un tur sertifikātu, kas ir vairāk, nekā rāda ping, un mazāk, nekā prasa paša profila uzticības iestatījumi.

Kad rokasspiediens neizdodas un resursdators atbild uz ping, ports, iespējams, ir nepareizs vai filtrēts. Uztveriet to kā iemeslu pieprasīt pareizo portu, nevis kā uzaicinājumu izslaucīt blakus esošos. nc -vzu arī dažos stekos ziņo par panākumiem, kad nekas neklausās, tāpēc kails UDP tests neko nenozīmē bez rokasspiediena aiz tā.

Uzticības tapas lasiet atsevišķi no adreses

Adrese izlemj, kur klients dodas; uzticības bloks izlemj, kam tas tic pēc ierašanās. verify-x509-name "vpn.example.com" name piesprauž subjekta vispārējo nosaukumu, un remote-cert-tls server prasa paplašināto atslēgas lietojumu servera autentifikācijai. Operatora dotajam profilam jānes abi.

Meklējiet ca, iekļauto <ca> bloku un vai nu tls-crypt, vai tls-auth. Profilam ar tls-auth klientā vajag key-direction 1, kad servera puse izmanto 0 virzienu, un neatbilstība izgāž rokasspiedienu ar TLS kļūdu, kas lasās kā sertifikāta defekts. Iekļauts CA, kas nepieder operatoram, kura vārdu tikko atrisinājāt, nozīmē, ka fails salikts no diviem avotiem, un tieši šis ir gadījums, ko vērts kategoriski noraidīt.

verify-x509-name pieņem name, name-prefix vai subject režīmus, un pēdējais gaida pilnu atšķirīgo nosaukumu tieši tādā secībā, kādā serveris to izdrukā. Izvēlieties režīmu, kas atbilst vērtības formai, jo klients noraida katru savienojumu, nevis brīdina par gandrīz trāpījumu. Failam, kuru neesat rakstījis, ar vienkāršu resursdatora nosaukumu name ir vismazāk pārsteidzošā izvēle.

Pārbaudiet opcijas, kas klusi neizdodas

OpenVPN 2.6 vienojas par šifriem caur data-ciphers, un profils, kurā ir tikai veca cipher AES-256-CBC rinda, var pabeigt vadības kanālu un pēc tam iesprūst pie datiem. Šīs vērtības izlasīšana pasaka, vai fails ir vecāks par serveri, kuram pievienojaties; 2.6 rokasgrāmatas lapa uzskaita sarunu kārtību, ja tā jācitē operatoram.

auth-user-pass bez faila nosaukuma nozīmē, ka klients jautās, tāpēc pašpietiekamam izskatīgam profilam joprojām vajag akreditācijas datus. auth-user-pass credentials.txt nozīmē, ka tas gaida failu, kas jums, iespējams, netika nosūtīts. nobind un resolv-retry infinite ir parasti un nekaitīgi, savukārt explicit-exit-notify ir tikai UDP un bezjēdzīgs pa TCP.

Neviens no šiem nemaina to, kur profils pieslēdzas, bet katrs maina to, vai tas vispār pieslēgsies, un neviens nav redzams klienta importēšanas dialogā.

Izlemiet, pēc tam pierakstiet, ko izlēmāt

Pēc šīs lasīšanas ir trīs iznākumi, un tikai viens ir importēšana. Kad galapunkts un tapas atbilst instrukcijām, kas saņemtas pa atsevišķu kanālu, importējiet to. Kad galapunkts izskatās pareizs, bet tapas vai CA neatbilst, pieprasiet labotu failu. Kad fails sajauc dažādu avotu galapunktus vai CA materiālu, izdzēsiet to un pieprasiet svaigu kopiju.

Pierakstiet pārbaudīto jaucējkodu, lai nākamā persona zinātu, vai fails ir mainījies: sha256sum profile.ovpn, ielīmēts blakus galapunktam jūsu piezīmēs. Profils ir vesela sakārtojums, nevis adrešu saraksts, tāpēc nekad neiestipriniet strādājošu remote kāda cita uzticības blokā, paturot viņa akreditācijas datus.

Turiet privātās atslēgas un paroles ārpus ekrānuzņēmumiem un tērzēšanas pavedieniem, kamēr salīdzināt piezīmes. Ar galapunktu un ne slepenajām opcijām pietiek precīza jautājuma uzdošanai, un pārējais paliek failā.

Ja tomēr importējat un pirmais mēģinājums neizdodas, palaidiet klientu ar --verb 3 un izlasiet pirmās desmit rindas: atrisinātā remote adrese, saskaņotais proto un TLS kļūda parādās šajā secībā, kas pasaka, kuru no iepriekš minētajām pārbaudēm izlaidāt.