Не ви треба приватниот клуч за да отстранувате грешки во VPN

Барањето звучи разумно: испратете ја конфигурацијата за поддршката да види што не е во ред. Така и приватните клучеви завршуваат во системите за билети и во дневниците на разговори. Конфигурацијата е идентитет, а не дијагностика, и лицето што го отстранува грешките во вашиот тунел речиси никогаш не ја потребува онаа половина што докажува кој сте. Излезот од состојбата одговара на истите прашања без тој ризик.

Мит е дека конфигурацијата е единствениот целосен преглед. Таа е најмалку безбедниот целосен преглед.

Митот: поддршката и треба конфигурацијата

На поддршката и требаат текстот на грешката, верзиите на клиентот и серверот, крајната точка, состојбата на ракувањето и редоследот на настаните. Сето тоа е состојба. Конфигурацијата додава клучеви, а клучевите се она што на некој друг му овозможува да биде вие. Да се предаде конфигурација за да се поправи проблем со рутирање е како да ја испратите пасошот по пошта за да објасните доцнење на лет. Барањето обично доаѓа од некој што никогаш не ја видел вашата мрежа и бара она што е најлесно да се приложи.

Испратете го најмалиот излез што одговара на прашањето, а не најголемиот што можете да го најдете.

Што навистина покажува состојбата

WireGuard wg show печати интерфејси, партнери, дозволени IP адреси, крајни точки, последното ракување и бројачи на пренос, и не го печати приватниот клуч. Излезот од состојбата и дневникот на OpenVPN дава состојба на врската и грешки без вградените блокови со клучеви. Двете се доволни за да се види дали ракувањето завршува, дали бројачите се движат и кој партнер се користи, што прирачникот за wg го документира како приказ на состојба.

Ако помагач побара конфигурацијата пред да го побара тој излез, прашајте што би покажала конфигурацијата што состојбата не го покажува.

Каде се кријат тајните во секој формат

Конфигурациските датотеки на WireGuard содржат PrivateKey линии, а јавните клучеви на партнерите и метаподатоците за крајната точка уште идентификуваат дури и без нив. Профилите на OpenVPN можат да вградат блокови <key> и <tls-crypt> или да укажуваат на одделни датотеки што патуваат со профилот. Архивата за поддршка на клиентот може да содржи многу повеќе отколку што покажува прозорецот на дневникот, вклучително и кеширани профили за чие постоење сте заборавиле. Снимките од екранот се другото вообичаено истекување, бидејќи прозорецот на терминалот покажува повеќе од командата што сакавте да ја споделите.

Прочитајте ја документацијата за извоз, потоа отворете ја датотеката. Излезот означен како дијагностика не е нужно исчистен од нешто.

Редактирајте, потоа испратете проверена копија

Чувајте го оригиналот на заштитено место и испратете проверена копија. Кога вистинските вредности не се потребни, заменете ги крајните точки и јавните клучеви со стабилни заменки, а блоковите со приватен клуч отстранете ги целосно наместо делумно да ги прикривате. Делумното прикривање на base64 блок е уште истечен клуч. Прочитајте ја датотеката уште еднаш пред да замине, бидејќи архивите често носат втора копија од истиот профил.

Користете проверен канал и проверете кој го прима пред да приложите нешто.

Ако клучот веќе истече

Бришењето на пораката не ги враќа копиите што другите веќе ги имаат. Ротирајте го идентитетот преку процесот за отповикување и замена на операторот и третирајте го стариот клуч како компромитиран од моментот кога е испратен. Повеќето оператори брзо ќе го заменат идентитетот на клиентот штом ќе се пријави изложеноста, а пријавувањето е делот што луѓето го одложуваат.

Истото правило важи за клуч залепен во билет, снимка од екран или нишка од разговор. Ротацијата е решението; бришењето е домашна работа.