Вашата .ovpn датотека може да извршува код, не само да насочува сообраќај

Повеќето луѓе читаат .ovpn датотека како што читаат страница со поставки на рутер: адреси, рути, список на шифри. Делот што извршува код седи близу дното, до директиви што личат на водоводна работа, и работи со какви и да се привилегии што клиентот веќе ги има. Тоа е празнината што ја искористува невнимателен или злонамерен профил, а тоа е и празнината што го претвора корисниот DNS помошник во проблем за поддршка три недели подоцна. Директивата за настан, безбедносното ниво и сопственоста на датотеката одлучуваат што може да се случи; содржината на скриптата одлучува што навистина се случува. Прочитајте ги сите четири пред да се поврзете.

Профилот што извршува помошник е програма, не датотека со поставки

Директивите како route и dhcp-option опишуваат состојба што клиентот треба да ја воспостави, а клиентот ги третира како податоци. up скриптата е поинаква: клиентот ја стартува како процес и ѝ дава околина полна со детали за врската, така што сѐ што напишал авторот работи со правата на вашата сметка. На пренослив компјутер каде корисникот е администратор, тоа е широка врата за датотека што пристигнала како прилог или залепена од форумска нишка. Разликата не е стилска, таа е разликата меѓу конфигурација и код.

Митот што вреди да се напушти е дека профилот може само да го пренасочи сообраќајот. Помошник што извршува ip route add и оној што извршува curl кон оддалечен домаќин се истиот механизам, а профилот изгледа идентично однадвор. Ништо во изгледот на датотеката не ви кажува кој го имате, затоа прегледот мора да стигне до самата скрипта.

Што навистина одлучува за извршувањето и како изгледаат редовите што го овозможуваат

Помошникот го контролираат три работи: директивата за настан што го именува, нивото script-security што го дозволува и самата имплементација на клиентската платформа. Профилот може да побара кука и сепак да не види ништо да се случува, бидејќи мобилен клиент или намалена десктоп верзија може воопшто да не го имплементира тој настан. Исто така, профилот што бара повеќе дозвола отколку што му треба на неговата функција ви кажува нешто за неговото потекло. Нивото на дозвола е способност, не одобрување. Редовите што го овозможуваат изгледаат вака, а патеката стои наместо вашата.

script-security 2
up /etc/openvpn/update-resolv-conf.sh
down /etc/openvpn/update-resolv-conf.sh

Нивото 0 одбива надворешни програми, а нивото 1, основното, дозволува само вградени извршни датотеки на клиентот, така што на куката ѝ треба 2 или повисоко; нивото 3 постои главно за пренесување стари лозинки и најдобро е да се избегнува. Профилот доставен со кука бара и директива и тоа ниво, затоа еден ред близу дното на датотеката заслужува исто внимание како блокот со сертификат. Прирачникот на OpenVPN ги наведува нивоата на дозвола, и неговиот текст вреди да се прочита до она што профилот навистина го бара.

Сопственост, патека и со што се храни помошникот

Профил на кој му верувате, но што покажува на скрипта што друга сметка може да ја препише, не е сигурен договор, бидејќи вчерашниот преглед повеќе не опишува што работи денес. Проверете го сопственикот и режимот на помошникот и проверете дека конфигурираната патека води до датотеката што сте ја прегледале, а не до име што нешто друго може да го засени. Аргументите и околината заслужуваат ист поглед: клиентот ѝ ги предава деталите за врската на куката, а помошник што ја логира целата своја околина можеби запишува акредитиви во тикет за поддршка. Претпочитајте документирана интеграција од операторот или платформата наместо DNS скрипта копирана од неповрзан запис, бидејќи два управувачи на резолвер што се караат за истата датотека создаваат дефект што личи на расипан VPN.

Кога пријавувате кука што не успеала, изменете ја околината пред да ја залепите каде и да е. Излезот што ви помага при отстранување грешки може да го носи и токенот што ве автентицира.

Дефектите при чистење се појавуваат откако тунелот ќе исчезне

up помошникот додава рути и поставки за резолвер, а down помошникот треба повторно да ги отстрани. Кога down куката недостига, тивко не успева или никогаш не се извршува зашто клиентот бил убиен, остатоците ја надживуваат сесијата. Тогаш сообраќајот оди по патека што никој не ја планирал, а имињата се решаваат преку резолвер што требало да биде отстранет, додека самиот тунел изгледа здрав. Тие симптоми доаѓаат по исклучувањето, затоа се обвинува мрежата, а не профилот.

Тестирајте го расклопувањето како посебен чекор: подигнете го тунелот, забележете ги рутите и резолверот, спуштете го, потоа потврдете дека двете ги нема. Профил што се поврзува чисто сепак може да остави состојба зад себе, а нултиот излезен код на помошникот не докажува дека резолверот завршил таму каде што мислите.

Преглед на помошникот и чување излез

Прочитајте ја скриптата од почеток до крај барајќи три работи: наредби што бараат привилегија, тврдо кодирани патеки што можеби не постојат на вашиот систем и секој мрежен повик што го прави. Потоа видете како не успева, бидејќи помошник што голта грешки ја претвора конфигурациската грешка во мистерија. Ако не можете во една реченица да кажете што прави скриптата и кој може да ја смени, не сте подготвени да ја овозможите. Профил што бара повеќе привилегија од онаа што ја бара таа реченица е сигнал да застанете.

Чувајте го последниот работен профил и помошникот на кој укажуваше во заштитено складиште, со забележани двете верзии, за да биде враќањето копија, а не повторна изградба во најлошиот можен момент. Ако помошникот постои само за дистрибуција или клиентска верзија што повеќе не го бара, повлечете го во конфигурацијата што ја поседува поставката, наместо да ги кревате привилегиите додека грешките не запрат. Тоа е излезот: помалку подвижни делови, не повеќе дозвола.