Танил бус OVPN файлууд: дотоод эрсдэл ба алсын итгэл

OVPN файлыг програмын оролт гэж үзээрэй, түүний агуулга хор хөнөөлгүй гэсэн гэрчилгээ гэж биш. Серверийн хаягийг шалгах нь профайл хаана холбогдохыг хүсч байгааг л хариулна, өөр юу ч биш. Тэр файл дотор итгэлийн хоёр тусдаа шийдэл байна: клиент таны машин дээр юу хийж болох, аль оператор урсгалыг авах вэ. Танил протоколын нэр аль нэгийг нь ч шийдэхгүй.

Нэг файлд хоёр шийдэл нуугдаж байна

Эхний шийдэл нь дотоод. Профайл бол конфигурацийн хэл бөгөөд түүнийг уншдаг клиент залгуур ачаалах, скрипт ажиллуулах эсвэл чиглүүлэлт болон DNS хэрхэн хэрэгжихийг өөрчлөх зааварчилгыг дэмжиж болно. Хоёр дахь шийдэл нь алсын. Файлд юу ч байсан, гарах оператор түүнд хүрэх урсгалыг хардаг.

Хоёулыг хольж хутгах нь хоёр чиглэлд муу зөвлөгөө өгнө: үл мэдэгдэх операторын цэвэр харагдах профайл, эсвэл хэн ч уншаагүй дэгээтэй алдартай операторын профайл. Дотооддоо аюулгүй профайл ч таны урсгалыг таны сонгохгүй хүнд өгч болно.

Профайлыг аль ч клиентээс өмнө уншина уу

Файлыг аль ч клиент боловсруулахаас өмнө текстээр уншина уу. Файлаас гадагш заасан, гүйцэтгэх файлуудыг дурдсан эсвэл эрх мэдлийг өөрчилсөн зааварчилгыг хайж, тэр жагсаалтыг клиентийн баримтжуулсан дэмжлэгтэй харьцуулна уу. Богино хайлт нь аюулгүй байдлын аудит биш, гэхдээ профайл серверийн жагсаалт уу, эсвэл илүү зүйл үү гэдгийг хэлнэ.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Хоосон үр дүн тайвшруулдаг бөгөөд шийдвэрлэхүйц биш, учир нь сонголтууд харилцан үйлчилж эсвэл оруулсан файлаас ирж болно. Шүүсэн жагсаалтыг цааш унших шалтгаан гэж үзээрэй, шийдвэр гэж биш.

Профайлтай хамт ирдэг зааварчилгаа нь профайлын адил хяналт хүртэх ёстой. Дөрвөн хүсэлт таныг зогсоох ёстой: скриптүүдийг идэвхжүүлэх, туслах програм эсвэл сан суулгах, клиентийг администратороор ажиллуулах, эсвэл импортын хязгаарлалтыг сулруулах. Тэдгээрийн аль нь ч итгэлийн хилийг гадагш шилжүүлж, аль нь ч серверийн жагсаалт импортлохын энгийн хэсэг биш.

Бүх файлыг нэг удаа бүтнээр нь ч уншина уу, учир нь нэг танил бус мөрийг нөхцөл байдалд үнэлэх нь шүүсэн жагсаалтаас хялбар. Мөр танил бус бол таамаглахын оронд клиентийнхээ гарын авлагаас хайна уу.

Клиент бодитоор юу гүйцэтгэх вэ

Community OpenVPN-ийн 2.6 гарын авлага script-security шатлалыг баримтжуулдаг: 1-р түвшин нь өгөгдмөл бөгөөд хэрэглэгчийн тодорхойлсон скриптүүдийг блоклодог, харин 2-р түвшин тэдгээрийг зөвшөөрдөг. Залгуурыг ачаалах нь өөрийн зааварчилгаатай тусдаа механизм юм. Тиймээс нэг файл өөр өөр клиентэд өөр утгатай байж болно. Гар утас болон үйлдвэрлэгчийн клиентүүд илүү нарийн зааварчилгын багц хүлээж авах, эсвэл дэгээнүүдийн алийг ч хүлээж авахгүй байж болно.

Эхлүүлэх арга нь клиентийн адил чухал. Эрх мэдэлтэй туслах програмаар эхэлсэн профайл хэрэглэгчийн орон зайд эхэлснээс илүү их зүйл хийж чадах бөгөөд энэ ялгаа нь импортын сануулгыг үл тоомсорлохын оронд унших шалтгаан юм.

Хувилбар ч бас чухал, учир нь эдгээр түвшинүүд гаргасан бүрт тодорхойлогддог бөгөөд хэдэн хувилбараар хоцорсон клиент ижил бодлогыг хэрэгжүүлэхгүй байж болно. Таны ажиллуулж буй бүтээцэд тохирох гарын авлагыг уншина уу, олдсон хамгийн шинийг биш. Клиент хаана ч хувилбарын мөр харуулахгүй бол энэ нь аль хэдийн удаашрах шалтгаан.

Операторыг харьцуул, зөвхөн хаягийг биш

Операторуудыг бусад аливаа зуучлагчийг харьцуулдаг шигээ харьцуулна уу. Гарцыг хэн удирддаг, юу бүртгэдэг, профайл танд хэрхэн ирснийг асууна уу. Баталгаажсан татах хуудас болон тохирох хурууны хээ нь танил хостны нэрнээс илүү ихийг хэлнэ. Хүрч болох сервер зөвхөн ямар нэгэн зүйл хариулсныг л нотолно.

Нэвтрэх мэдээлэл бол хүмүүс дарамт дор алдаа гаргадаг хэсэг. Серверийн нэр танил харагдаж байгаа учраас татсан профайлд холбоогүй бүртгэлийн нууц үг бичих хэрэггүй. Профайл нээлттэй хувийн түлхүүр ч агуулж болох тул бүх файлыг хяналтын сэдэвт нийтлэх нь тэр түлхүүрийг сэдэвт өгнө.

Зөв баталгаажсан HTTPS сесс хуудсын агуулгыг зөвхөн пакет дамжуулдаг хүнээс нуудаг хэвээр, тиймээс гарах хэсэг нууц үг бүрийг автоматаар хардаггүй. Харин та аль сайтад хүрдгийг хардаг бөгөөд энэ хил хязгаарыг хэтрүүлэхийн оронд зөв хэлэх нь зүйтэй.

Файлын гарал үүсэл тодорхойгүй хэвээр байвал, эсвэл түүний шаардаж буй эрх мэдэлд таны хүлээн зөвшөөрч болох тайлбар байхгүй бол профайлыг хариуцлага тооцож болох эх сурвалжаас авсан профайлаар солино уу. Удирдлагатай ажлын холболт дээр администратор клиент болон конфигурацийг хоёр биш, нэг шийдвэр гэж батлах ёстой. Энд юу ч эхлээд муу санааг нотлохыг шаарддаггүй; нэвтрэхээс татгалзах нь хууль ёсны хариулт юм.