Apa yang boleh diubah oleh profil VPN yang diserahkan pada peranti anda

Menyerahkan profil VPN kepada klien anda bermakna menyerahkan konfigurasi yang ditulis oleh orang lain, yang kemudiannya dilaksanakan oleh program itu pada mesin anda. Mengimportnya boleh mengubah ke mana trafik terlindung pergi, rakan mana yang dipercayai peranti anda, dan dalam beberapa format, program tempatan mana yang berjalan apabila terowong naik. Fail itu bukan penanda buku; ia ialah program kecil dalam format deklaratif.

Bacalah seperti anda membaca skrip shell daripada sumber yang sama.

Klien yang mentafsirnya, bukan anda

Setiap medan dalam fail ialah arahan kepada klien tertentu. Titik akhir dan protokol menentukan ke mana terowong pergi, blok pengesahan menentukan rahsia apa yang diminta, dan arahan laluan menentukan apa yang masuk ke dalamnya. Sijil atau kunci peribadi boleh dibenamkan sebagai blok dan bukannya dirujuk sebagai fail, dan itulah sebabnya satu fail teks kadangkala membawa segala yang diperlukan untuk menyamar sebagai anda di hadapan get laluan. Sifat itulah yang menjadikan perkongsian fail secara sambil lewa begitu berbahaya.

Profil OpenVPN juga boleh membawa cangkuk skrip, laluan pemalam dan tahap keselamatan yang menentukan sama ada cangkuk itu boleh berjalan. Gabungan itulah yang menjadikan profil asing wajar dibaca baris demi baris dan bukannya diklik dua kali. Klien akan melakukan tepat apa yang dikatakan fail, dan ia akan melakukannya dengan keistimewaan anda.

Perubahan penghalaan kelihatan selepas satu sambungan

Profil terowong penuh memasang laluan yang menghantar semuanya melalui get laluan, manakala profil terowong terbelah hanya menghantar awalan terpilih. Sesetengah profil juga menolak pelayan DNS, yang secara senyap mengubah siapa yang melihat pertanyaan anda. Tiada satu pun daripada itu berniat jahat dengan sendirinya, dan tiada satu pun daripada itu jelas daripada nama fail.

Bandingkan jadual penghalaan sebelum dan selepas sambungan pertama dan anda akan melihat niatnya dalam satu pandangan. Profil yang diiklankan sebagai akses kepada satu aplikasi dalaman tetapi memasang laluan lalai yang lebih luas memberitahu anda sesuatu tentang penulisnya.

Bahan kepercayaan dan cangkuklah yang memikul beban sebenar

Profil boleh membekalkan maklumat kepercayaan kepada klien VPN, dan pakej konfigurasi platform boleh pergi lebih jauh dan memasang sijil atau akar ke dalam stor sistem. Itu skop berbeza dengan akibat berbeza. Kes dalam skop klien menjejaskan pengesahan satu aplikasi; kes pada peringkat sistem menjejaskan segala yang menggunakan stor kepercayaan platform.

Cangkuk skrip dan pemalam ialah separuh lagi. Arahan yang menjalankan perintah semasa bersambung, atau pemalam yang dimuatkan ke dalam proses klien, mempunyai keistimewaan anda dan tiada langsung daripada pengasingan klien. Jika profil yang anda tidak minta mengandungi satu, itu soalan untuk orang yang menghantarnya.

Tiada satu pun daripada kedua-dua kategori itu bermusuhan secara automatik. Penggunaan korporat menggunakan kedua-duanya. Intinya ialah setiap satu menuntut penjelasan yang boleh anda semak.

Sahkan asal usul, kemudian masukkan rahsianya

Tentukan siapa yang mengeluarkan fail itu melalui saluran yang anda sudah percaya, bukan melalui mesej yang menghantarnya. Bandingkan butiran titik akhir dan sijil dengan dokumentasi yang diterbitkan oleh pengendali. Jika profil tiba tanpa diminta, dapatkan yang baharu terus daripada pengendali dan bukannya membaiki salinan yang diberikan kepada anda. Tanyakan versi klien mana yang disokong oleh pengendali, kerana fail yang sama boleh ditafsirkan secara berbeza oleh klien lain.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

Jangan sekali-kali meletakkan kata laluan dalam medan yang tidak dijelaskan untuk melihat sama ada ia berfungsi, dan jangan sekali-kali menerima gesaan keistimewaan asing hanya untuk menyelesaikan import. Sambungan yang berjaya membuktikan titik akhir menjawab, tidak lebih.

Alih keluar salinan yang diimport, bukan muat turun

Klien menyalin profil ke dalam stor mereka sendiri, jadi memadam fail yang dimuat turun membiarkan sambungan import kekal aktif. Alih keluarnya melalui antara muka klien itu sendiri, dan periksa sama ada sijil yang ditambah semasa import juga hilang. Kemudian sahkan laluan yang dipasangnya juga hilang.

Jika sijil dipasang pada skop sistem, mengalih keluar profil tidak memadai. Pembersihan itu tergolong dalam pengurusan kepercayaan platform, dan wajar dilakukannya dengan sengaja dan bukannya berharap but semula seterusnya akan mengendalikannya.