Ko var mainīt nodots VPN profils jūsu ierīcē

Nodot savam klientam VPN profilu nozīmē nodot tam konfigurāciju, ko rakstījis kāds cits un ko šī programma pēc tam izpilda jūsu mašīnā. Tā importēšana var mainīt, kurp iet pārklātā datplūsma, kam jūsu ierīce uzticas un dažos formātos — kuras vietējās programmas palaižas, kad tunelis paceļas. Fails nav grāmatzīme; tas ir maza programma deklaratīvā formātā.

Lasiet to tā, kā jūs lasītu čaulas skriptu no tā paša avota.

To interpretē klients, nevis jūs

Katrs fails lauks ir norādījums konkrētam klientam. Galapunkts un protokols nosaka, kurp iet tunelis, autentifikācijas bloks nosaka, kāds noslēpums tiek prasīts, un maršrutu direktīvas nosaka, kas tajā nonāk. Sertifikāti vai privātā atslēga var būt iegulti kā bloki, nevis norādīti kā faili, un tāpēc viens teksta fails dažkārt nes visu, kas vajadzīgs, lai kāds uzdotos par jums vārtejas priekšā. Tieši šī īpašība padara nejaušu failu koplietošanu tik bīstamu.

OpenVPN profili var arī nest skriptu āķus, spraudņu ceļus un drošības līmeni, kas nosaka, vai šie āķi drīkst darboties. Tieši šī kombinācija padara nepazīstamu profilu lasīšanas vērtu rindu pa rindai, nevis dubultklikšķa vērtu. Klients izdarīs tieši to, ko saka fails, un izdarīs to ar jūsu tiesībām.

Maršrutēšanas izmaiņas ir redzamas pēc viena savienojuma

Pilna tuneļa profils instalē maršrutus, kas visu sūta caur vārteju, savukārt sadalītā tuneļa profils sūta tikai atlasītus prefiksus. Daži profili arī iespiež DNS serveri, kas klusi maina to, kas redz jūsu vaicājumus. Nekas no tā nav ļaunprātīgs pats par sevi, un nekas no tā nav acīmredzams no faila nosaukuma.

Salīdziniet maršrutēšanas tabulu pirms un pēc pirmā savienojuma, un jūs vienā skatienā ieraudzīsiet nodomu. Profils, kas reklamēts kā piekļuve vienai iekšējai lietotnei, bet instalē plašāku noklusējuma maršrutu, pastāsta kaut ko par savu autoru.

Īsto smagumu nes uzticēšanās materiāls un āķi

Profils var sniegt VPN klientam uzticēšanās informāciju, un platformas konfigurācijas pakotne var aiziet tālāk un instalēt sertifikātu vai sakni sistēmas krātuvē. Tie ir atšķirīgi tvērumi ar atšķirīgām sekām. Klienta tvēruma gadījums ietekmē vienas lietotnes validāciju; sistēmas līmeņa gadījums ietekmē visu, kas izmanto platformas uzticēšanās krātuvi.

Skriptu āķi un spraudņi ir otra puse. Direktīva, kas savienojuma laikā izpilda komandu, vai spraudnis, kas ielādēts klienta procesā, gūst jūsu tiesības un neko no klienta izolācijas. Ja profilā, kuru neprasījāt, ir kaut kas tāds, tas ir jautājums tam, kas to atsūtīja.

Neviena no abām kategorijām nav automātiski naidīga. Uzņēmumu izvietojumi izmanto abas. Būtība ir tā, ka katrai vajadzīgs skaidrojums, ko jūs varat pārbaudīt.

Pārbaudiet izcelsmi, tad ievadiet noslēpumu

Noskaidrojiet, kas izdeva failu, pa kanālu, kuram jau uzticaties, nevis pa ziņojumu, kas to piegādāja. Salīdziniet galapunkta un sertifikāta datus ar operatora publicēto dokumentāciju. Ja profils ieradās bez pieprasījuma, iegūstiet jaunu tieši no operatora, nevis labojiet jums doto kopiju. Jautājiet, kuru klienta versiju operators atbalsta, jo to pašu failu cits klients var interpretēt citādi.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

Nekad nelieciet paroli neizskaidrotā laukā, lai redzētu, vai tā strādā, un nekad nepieņemiet nepazīstamu tiesību pieprasījumu tikai tāpēc, lai pabeigtu importu. Veiksmīgs savienojums pierāda, ka galapunkts atbildēja, un neko vairāk.

Noņemiet importēto kopiju, nevis lejupielādi

Klienti kopē profilu savā krātuvē, tāpēc lejupielādētā faila dzēšana atstāj importēto savienojumu aktīvu. Noņemiet to pati klienta saskarnē un pārbaudiet, vai arī importa laikā pievienotais sertifikāts ir pazudis. Pēc tam apstipriniet, ka arī tā instalētie maršruti ir pazuduši.

Ja sertifikāts tika instalēts sistēmas tvērumā, ar profila noņemšanu nepietiek. Šī tīrīšana pieder platformas uzticēšanās pārvaldībai, un to ir vērts darīt apzināti, nevis cerēt, ka nākamā pārstartēšana to atrisinās.