OpenVPN പ്രൊഫൈലിന്റെ സർവർ ഇംപോർട്ട് ചെയ്യുന്നതിന് മുമ്പ് എങ്ങനെ പരിശോധിക്കാം

ആരോ നിങ്ങൾക്ക് ഒരു പ്രൊഫൈൽ അയയ്ക്കുന്നു, നിങ്ങൾ അത് ഇംപോർട്ട് ചെയ്യുന്നു, മുപ്പത് സെക്കൻഡിന് ശേഷം ആരും പരിശോധിക്കാത്ത ഒരു ലക്ഷ്യസ്ഥാനത്തേക്ക് ഒരു ക്ലയന്റ് ഡയൽ ചെയ്യുന്നു. ആദ്യം ഫയൽ ടെക്സ്റ്റ് എഡിറ്ററിൽ വായിക്കുക, കാരണം പ്രധാനമായതെല്ലാം കുറച്ച് നിർദ്ദേശങ്ങളിൽ ഒതുങ്ങുന്നു: remote, proto, port, ca, cert, tls-crypt, verify-x509-name. ബാക്കിയെല്ലാം ഡിഫോൾട്ട് മൂല്യങ്ങളാണ്, അത്ഭുതങ്ങൾ അവിടെയാണ് താമസിക്കുന്നത്.

ഫയലിന് ഉപയോഗിക്കാവുന്ന എല്ലാ എൻഡ്പോയിന്റുകളും പട്ടികപ്പെടുത്തുക

എൻഡ്പോയിന്റുകളിൽ നിന്ന് തുടങ്ങുക, കാരണം ഒരു പ്രൊഫൈലിൽ പലതും ഉണ്ടാകാം. grep -nE '^[[:space:]]*(remote|proto|port|remote-random|connection)' profile.ovpn ഓരോ സ്ഥാനാർഥിയെയും ഫയൽ ക്രമത്തിൽ പ്രിന്റ് ചെയ്യുന്നു, ഇൻലൈൻ <connection> ബ്ലോക്കുകൾക്കുള്ളിൽ കൂടുവെച്ചവയും ഉൾപ്പെടെ.

ഒരു നിർദ്ദേശം പോർട്ട് ഒഴിവാക്കുമ്പോൾ, ക്ലയന്റ് ലിസണറുടെ ഡിഫോൾട്ടിലേക്ക് മടങ്ങുന്നു, അതിനാൽ remote vpn.example.com മാത്രം എന്നാൽ ഫയലിൽ പിന്നീട് ഏത് proto വന്നാലും പോർട്ട് 1194 എന്നാണ് അർഥം. നിരവധി ലളിതമായ remote വരികൾ ബദലുകളാണ്: remote-random അവ കലർത്താത്തിടത്തോളം ക്ലയന്റ് അവ ക്രമത്തിൽ പരീക്ഷിക്കുന്നു, മറ്റൊരു ഓപ്പറേറ്ററുടെ ഹോസ്റ്റ് അത് ഒരിക്കലും നിശബ്ദമായി മാറ്റിസ്ഥാപിക്കുന്നില്ല. ബന്ധമില്ലാത്ത ഡൊമെയ്നുകളിലെ രണ്ട് remote വരികൾ ഏതാണ് ഉദ്ദേശിച്ചതെന്ന് നിങ്ങൾ നിന്ന് ചോദിക്കേണ്ട സ്ഥലമാണ്.

proto-യുടെ അക്ഷരവിന്യാസവും ശ്രദ്ധിക്കുക. tcp ക്ലയന്റ് ഭാഗത്തെ tcp-client-ന്റെ പര്യായമായി സ്വീകരിക്കുന്നു, പക്ഷേ ക്ലയന്റ് പ്രൊഫൈലിലെ tcp-server വൃത്തിയായി പരാജയപ്പെടുന്നതിന് പകരം തൂങ്ങിക്കിടക്കാൻ സാധ്യതയുള്ള കോൺഫിഗറേഷൻ പിശകാണ്.

ആദ്യം പേര്, പിന്നീട് പോർട്ട് സ്ഥിരീകരിക്കുക

പേര് നിലവിലുണ്ടോ, ഏത് വിലാസങ്ങൾ തിരികെ നൽകുന്നു എന്ന് dig +short vpn.example.com പറയുന്നു, കൂടാതെ ഒന്നിലധികം വിലാസമുള്ളതോ പ്രോക്സിക്ക് പിന്നിലുള്ളതോ ആയ എൻഡ്പോയിന്റ് നിയമാനുസൃതമായി പലത് തിരികെ നൽകാം. പേരിന്റെ റെസല്യൂഷൻ മുൻവ്യവസ്ഥയാണ്, ഉടമസ്ഥതയുടെ തെളിവല്ല; ആർക്കും ഒരു പേരിനെ ഒരു വിലാസത്തിലേക്ക് ചൂണ്ടിക്കാം, ഒരു വിലാസത്തിന് പല പേരുകൾക്ക് ഉത്തരം നൽകാം.

തുടർന്ന് കണ്ടെത്തിയ പോർട്ടിൽ ലിസണർ പരിശോധിക്കുക, ട്രാൻസ്പോർട്ടിന് അനുസൃതമായി. TCP-യിൽ openssl s_client -connect vpn.example.com:1194 -servername vpn.example.com സർവർ അവതരിപ്പിക്കുന്ന ചെയിൻ പ്രിന്റ് ചെയ്യുന്നു. UDP-യിൽ നിങ്ങൾക്ക് DTLS വേണം: openssl s_client -dtls1_2 -connect vpn.example.com:1194 അതേ ഹാൻഡ്ഷേക്ക് ഡാറ്റാഗ്രാമുകളിലൂടെ നടത്തുന്നു. പൂർത്തിയായ ഹാൻഡ്ഷേക്ക് എന്തോ കേൾക്കുന്നുണ്ടെന്നും സർട്ടിഫിക്കറ്റ് കൈവശമുണ്ടെന്നും തെളിയിക്കുന്നു, അത് ping കാണിക്കുന്നതിനേക്കാൾ കൂടുതലും പ്രൊഫൈലിന്റെ സ്വന്തം ട്രസ്റ്റ് ക്രമീകരണങ്ങൾ ആവശ്യപ്പെടുന്നതിനേക്കാൾ കുറവുമാണ്.

ഹാൻഡ്ഷേക്ക് പരാജയപ്പെടുകയും ഹോസ്റ്റ് ping-ന് ഉത്തരം നൽകുകയും ചെയ്താൽ, പോർട്ട് തെറ്റായിരിക്കാം അല്ലെങ്കിൽ ഫിൽട്ടർ ചെയ്തിരിക്കാം. അതിനെ ശരിയായ പോർട്ട് ആവശ്യപ്പെടാനുള്ള കാരണമായി കാണുക, അടുത്തുള്ളവ തൂത്തുവാരാനുള്ള ക്ഷണമായി അല്ല. nc -vzu ചില സ്റ്റാക്കുകളിൽ ഒന്നും കേൾക്കാതെതന്നെ വിജയം റിപ്പോർട്ട് ചെയ്യുന്നു, അതിനാൽ പിന്നിൽ ഹാൻഡ്ഷേക്ക് ഇല്ലാതെ വെറും UDP പരിശോധന ഒന്നും അർഥമാക്കുന്നില്ല.

ട്രസ്റ്റ് പിന്നുകൾ വിലാസത്തിൽ നിന്ന് വേർതിരിച്ച് വായിക്കുക

ക്ലയന്റ് എവിടേക്ക് പോകുന്നുവെന്ന് വിലാസം തീരുമാനിക്കുന്നു; എത്തിയ ശേഷം ആരെ വിശ്വസിക്കുമെന്ന് ട്രസ്റ്റ് ബ്ലോക്ക് തീരുമാനിക്കുന്നു. verify-x509-name "vpn.example.com" name വിഷയത്തിന്റെ പൊതുനാമം പിൻ ചെയ്യുന്നു, remote-cert-tls server സർവർ പ്രാമാണീകരണത്തിനായി വിപുലീകൃത കീ ഉപയോഗം ആവശ്യപ്പെടുന്നു. ഓപ്പറേറ്റർ നൽകുന്ന പ്രൊഫൈലിൽ രണ്ടും ഉണ്ടായിരിക്കണം.

ca, ഒരു ഇൻലൈൻ <ca> ബ്ലോക്ക്, കൂടാതെ tls-crypt അല്ലെങ്കിൽ tls-auth എന്നിവ തിരയുക. tls-auth ഉപയോഗിക്കുന്ന പ്രൊഫൈലിന് സർവർ ഭാഗം 0 ദിശ ഉപയോഗിക്കുമ്പോൾ ക്ലയന്റിൽ key-direction 1 ആവശ്യമാണ്, അസ്ഥിരത ഹാൻഡ്ഷേക്കിനെ സർട്ടിഫിക്കറ്റ് തകരാറായി വായിക്കുന്ന TLS പിശകിനാൽ പരാജയപ്പെടുത്തുന്നു. ഇപ്പോൾ പേര് റെസോൾവ് ചെയ്ത ഓപ്പറേറ്ററുടേതല്ലാത്ത ഇൻലൈൻ CA എന്നാൽ ഫയൽ രണ്ട് ഉറവിടങ്ങളിൽ നിന്ന് കൂട്ടിച്ചേർത്തു എന്നാണ്, അത് നിശ്ചയമായും നിരസിക്കേണ്ട സാഹചര്യമാണ്.

verify-x509-name name, name-prefix അല്ലെങ്കിൽ subject മോഡുകൾ സ്വീകരിക്കുന്നു, അവസാനത്തേത് സർവർ പ്രിന്റ് ചെയ്യുന്ന അതേ ക്രമത്തിൽ പൂർണ്ണ വിശിഷ്ട നാമം പ്രതീക്ഷിക്കുന്നു. മൂല്യത്തിന്റെ രൂപത്തിന് യോജിക്കുന്ന മോഡ് തിരഞ്ഞെടുക്കുക, കാരണം അടുത്ത തെറ്റിനെക്കുറിച്ച് മുന്നറിയിപ്പ് നൽകുന്നതിന് പകരം ക്ലയന്റ് എല്ലാ കണക്ഷനും നിരസിക്കുന്നു. നിങ്ങൾ എഴുതാത്ത ഫയലിന് ലളിതമായ ഹോസ്റ്റ്നെയിമിനൊപ്പം name ഏറ്റവും കുറഞ്ഞ അത്ഭുതകരമായ തിരഞ്ഞെടുപ്പാണ്.

നിശബ്ദമായി പരാജയപ്പെടുന്ന ഓപ്ഷനുകൾ പരിശോധിക്കുക

OpenVPN 2.6 data-ciphers വഴി സൈഫറുകൾ ചർച്ച ചെയ്യുന്നു, പഴയ cipher AES-256-CBC വരി മാത്രമുള്ള പ്രൊഫൈൽ നിയന്ത്രണ ചാനൽ പൂർത്തിയാക്കി പിന്നീട് ഡാറ്റയിൽ നിൽക്കാം. ആ മൂല്യം വായിക്കുന്നത് ഫയൽ നിങ്ങൾ ചേരുന്ന സർവറിനേക്കാൾ പഴയതാണോ എന്ന് പറയുന്നു; 2.6-ന്റെ മാനുവൽ പേജ് ചർച്ചയുടെ ക്രമം പട്ടികപ്പെടുത്തുന്നു, ഓപ്പറേറ്ററെ ഉദ്ധരിക്കേണ്ടതുണ്ടെങ്കിൽ.

ഫയൽനാമമില്ലാത്ത auth-user-pass എന്നാൽ ക്ലയന്റ് ചോദിക്കും, അതിനാൽ സ്വയംപര്യാപ്തമായി തോന്നുന്ന പ്രൊഫൈലിനും ക്രെഡൻഷ്യലുകൾ വേണം. auth-user-pass credentials.txt എന്നാൽ നിങ്ങൾക്ക് അയച്ചിരിക്കാൻ സാധ്യതയില്ലാത്ത ഒരു ഫയൽ പ്രതീക്ഷിക്കുന്നു. nobind, resolv-retry infinite എന്നിവ സാധാരണവും നിരുപദ്രവകരവുമാണ്, അതേസമയം explicit-exit-notify UDP-യ്ക്ക് മാത്രമുള്ളതും TCP-യിൽ അർഥശൂന്യവുമാണ്.

ഇവയൊന്നും പ്രൊഫൈൽ എവിടെ ബന്ധിപ്പിക്കുന്നു എന്നത് മാറ്റുന്നില്ല, എന്നാൽ ഓരോന്നും അത് ഒട്ടും ബന്ധിപ്പിക്കുമോ എന്നത് മാറ്റുന്നു, ഒന്നും ക്ലയന്റിന്റെ ഇംപോർട്ട് സംവാദത്തിൽ കാണുന്നില്ല.

തീരുമാനിക്കുക, പിന്നീട് തീരുമാനിച്ചത് രേഖപ്പെടുത്തുക

ഈ വായനയ്ക്ക് ശേഷം മൂന്ന് ഫലങ്ങളുണ്ട്, ഒന്ന് മാത്രമാണ് ഇംപോർട്ട്. എൻഡ്പോയിന്റും പിന്നുകളും വേറിട്ട ചാനലിലൂടെ ലഭിച്ച നിർദ്ദേശങ്ങളുമായി യോജിക്കുമ്പോൾ അത് ഇംപോർട്ട് ചെയ്യുക. എൻഡ്പോയിന്റ് ശരിയാണെന്ന് തോന്നിയാലും പിന്നുകളോ CA-യോ യോജിക്കുന്നില്ലെങ്കിൽ, തിരുത്തിയ ഫയൽ ആവശ്യപ്പെടുക. ഫയൽ വ്യത്യസ്ത ഉറവിടങ്ങളിലെ എൻഡ്പോയിന്റുകളോ CA വസ്തുവോ കലർത്തുന്നുവെങ്കിൽ, അത് ഇല്ലാതാക്കി പുതിയ പകർപ്പ് ആവശ്യപ്പെടുക.

നിങ്ങൾ പരിശോധിച്ച ഹാഷ് രേഖപ്പെടുത്തുക, അടുത്തയാൾക്ക് ഫയൽ മാറിയോ എന്ന് അറിയാൻ: sha256sum profile.ovpn, നിങ്ങളുടെ കുറിപ്പുകളിൽ എൻഡ്പോയിന്റിന് അടുത്ത് ഒട്ടിക്കുക. പ്രൊഫൈൽ വിലാസങ്ങളുടെ പട്ടികയല്ല, മൊത്തം ക്രമീകരണമാണ്, അതിനാൽ പ്രവർത്തിക്കുന്ന remote മറ്റൊരാളുടെ ട്രസ്റ്റ് ബ്ലോക്കിലേക്ക് അവരുടെ ക്രെഡൻഷ്യലുകൾ നിലനിർത്തി ഒരിക്കലും ചേർക്കരുത്.

കുറിപ്പുകൾ താരതമ്യം ചെയ്യുമ്പോൾ സ്വകാര്യ കീകളും പാസ്വേഡുകളും സ്ക്രീൻഷോട്ടുകളിൽ നിന്നും ചാറ്റ് ത്രെഡുകളിൽ നിന്നും അകറ്റി നിർത്തുക. എൻഡ്പോയിന്റും രഹസ്യമല്ലാത്ത ഓപ്ഷനുകളും കൃത്യമായ ചോദ്യം ചോദിക്കാൻ മതി, ബാക്കിയുള്ളത് ഫയലിലാണ് വേണ്ടത്.

നിങ്ങൾ അത് ഇംപോർട്ട് ചെയ്ത് ആദ്യ ശ്രമം പരാജയപ്പെട്ടാൽ, ക്ലയന്റ് --verb 3-നൊപ്പം പ്രവർത്തിപ്പിച്ച് ആദ്യ പത്ത് വരികൾ വായിക്കുക: റെസോൾവ് ചെയ്ത remote വിലാസം, ചർച്ച ചെയ്ത proto, TLS പിശക് എന്നിവ അതേ ക്രമത്തിൽ വരുന്നു, മുകളിലെ ഏത് പരിശോധനയാണ് നിങ്ങൾ ഒഴിവാക്കിയതെന്ന് അത് പറയുന്നു.