OpenVPN profila pārnesamība: pārnesamas atslēgas vai platformas opcijas

Tas pats .ovpn fails vienā klientā atver tuneli, bet otrā neiesākas, un sertifikāts parasti ir pirmais aizdomās turamais. Biežāk failā ir direktīva, ko ievieš tikai viens dzinējs. Profils ir līgums ar konkrētu klientu, nevis pārnesams skripts.

Atdaliet to, kas ceļo kopā ar identitāti, no tā, kas pieder platformai. Tad kļūme parasti pati sevi nosauc.

Viens fails, divi līgumi

Profils apvieno trīs veidu saturu: identitātes materiālu, piemēram, CA un klienta sertifikātus un privāto atslēgu, transporta faktus, piemēram, attālo galapunktu un protokolu, un uzvedības direktīvas, piemēram, DNS apstrādi vai ierīces opcijas. Pirmie divi ir plaši pārnesami starp dzinējiem, kas atbalsta to pašu protokolu. Trešais ir vieta, kur ieviešanas atšķiras. Visu failu uzskatīt par vienu pārnesamu vienību ir tas, kas rada mulsinošās kļūmes.

Fails, kas darbojas vienas platformas GUI, ne vienmēr ir derīgs citas platformas komandrindas klientam. Pat ja abi ir OpenVPN, parsētāji un opciju kopas atšķiras. Tāpēc veiksmīga importēšana nav pārnesama profila pierādījums.

Pārnesams materiāls pret platformas direktīvām

Identitātes un transporta sadaļas ir saglabājamā daļa. ca, cert, key un remote apraksta, kas un kur pieslēdzas, un tie nozīmē vienu un to pašu jebkuram atbilstošam klientam.

Uzvedības direktīvas ir salīdzināmā daļa. block-outside-dns, piemēram, pastāv, lai mainītu DNS uzvedību Windows vidē. Unix klients to var vispār neatpazīt.

Lasiet saņēmēja klienta opciju sarakstu, nevis sūtītāja. OpenVPN 2.6 rokasgrāmata dokumentē dzinēja opcijas, un GUI importēšanas dialogs nav šis saraksts.

Vispirms lasiet parsētāja kļūdu, pēc tam sertifikātu

Kļūda, kas nosauc nezināmu opciju, ir parsētāja kļūme, nevis autentifikācijas kļūme. Savienojums nekad nesasniedza TLS, tāpēc sertifikātu maiņa nepalīdzēs. Izlasiet pirmo kļūdu no īstā klienta un versijas, pēc tam noņemiet vai aizstājiet tikai to direktīvu, ko šis klients nevar ieviest. Sertifikāta vai maršrutu sadaļu dzēšana, lai fails ielādētos, ir ceļš, kā strādājošs profils kļūst nedrošs.

Ja kļūda piemin rokasspiedienu, sertifikātu vai šifru, profils tika parsēts un problēma ir citur.

Glabājiet oriģinālo failu blakus pielāgotajam. Kad pielāgotais fails vēlāk neizdodas, oriģināls ir kontrole, kas parāda, vai mainījās izmaiņa vai vide.

Privilēģijas ir otrā robeža

Privilēģijas ir otra robeža: tuneļa ierīces izveide, maršrutu instalēšana un privātās atslēgas lasīšana visas ir atkarīgas no vietējām atļaujām. Atslēgas fails, ko var lasīt tikai root, ir parasta izvietošana, nevis profila defekts. Labojums pieder īpašumtiesībām vai iespējām, nevis failam.

Klienta palaišana ar sudo var atrisināt vietēju atļaujas atteikumu, un tā nevar pievienot direktīvu, ko binārais fails neievieš. Tā arī maina, kura lietotāja atslēgu krogs, konfigurācijas ceļi un tīkla pārvaldnieka konteksts ir spēkā, tāpēc rezultāts nav tas pats tests.

Pielāgojiet apzināti

Kad pakalpojumu sniedzējs publicē atsevišķus profilus, ņemiet paredzēto saņēmēja klientam. Citādas platformas faila pielāgošana ir pēdējais līdzeklis. Tam nepieciešams ieraksts par katru mainīto opciju un oriģināla kopija.

Pārbaudiet identitāti, maršrutēšanu un DNS kā trīs atsevišķus rezultātus. Profils, kas autentificējas un maršrutē, bet salauž vārdu izšķiršanu, ir daļēji pielāgots profils, nevis strādājošs.