Qabbel żewġ profili OpenVPN mingħajr ma tixħet iċ-ċwievet

Diff tat-test jista' jesponi ċ-ċwievet inline bl-istess faċilità li juri direttiva mibdula. Qabbel skont ir-rwol fuq kopji protetti, imbagħad ibni fajl dijanjostiku redatt separat.

Żewġ profili, wieħed jikkonnettja u l-ieħor le, u l-mod mgħaġġel biex tara għaliex huwa diff. Il-problema hija li l-istess diff jipprintja ċ-ċavetta privata inline, iċ-ċavetta statika u kwalunkwe blokk ta' kredenzjali li jġorr il-fajl, u n-nies ipejstu l-output f'chat qabel ma jindunaw. Id-deċiżjoni dwar x'qed tqabbel tiġi qabel ma tħaddem il-kmand. Qabbel struttura u rwoli fuq kopji protetti, u ibni fajl redatt separat meta xi ħadd ieħor irid jarah.

X'ġġorr tassew fajl .ovpn

Fajl .ovpn hija konfigurazzjoni b'blokki inline fakultattivi. Tista' jkollha ċertifikat CA, ċertifikat tal-klijent, ċavetta privata, ċavetta tls-auth jew tls-crypt, u direttivi li jindikaw fajls esterni jew jitolbu kredenzjali. Żewġ fajls jistgħu jidhru kważi identiċi u jvarjaw biss ġewwa blokk, jew f'direttiva waħda li tbiddel it-trasport għal kollox. L-għadd ta' linji ma jgħidlek xejn dwar liema minn dawn ġara.

Differenza ġewwa blokk ta' ċavetta mhijiex prova pubblika ta' xejn. Ċertifikat maħruġ mill-ġdid u wieħed b'ċavetta ġdida jistgħu jipproduċu l-istess forma ta' bidla, għalhekk in-nuqqas ta' qbil tal-blokk jgħid li l-materjal huwa differenti, mhux liema deċiżjoni ħolqitu. Ittrattah bħala sinjal biex tqabbel l-oqsma, mhux bħala sejba.

Qabbel skont ir-rwol, mhux skont il-linja

Segwi l-ordni tal-konnessjoni stess: l-ewwel il-punt tat-tmiem u t-trasport, imbagħad il-fiduċja u l-identità mistennija, imbagħad l-awtentikazzjoni tal-utent, imbagħad ir-rotot, DNS u l-ganċijiet tal-iskript. Dik is-sekwenza taqbel ma' dak li jagħmel il-klijent, għalhekk l-ewwel differenza li tiltaqa' magħha hija l-ewwel ħaġa li setgħet kissret il-konnessjoni. Li tqabbel bl-alfabett minflok ixerred is-settings relatati mal-output kollu.

Pass konxju tal-oqsma jħares lejn dawn l-oġġetti, f'dik l-ordni. Kull ma l-klijent jitlob b'mod interattiv jaqa' mar-ringiela tal-awtentikazzjoni, mhux mar-ringieli tal-fiduċja.

  • remote, proto u port, inkluż kull blokk tal-konnessjoni.
  • ca u cert: emittent, suġġett u data ta' skadenza.
  • Jekk teżisti ċavetta privata xejn, qatt x'fiha.
  • tls-auth jew tls-crypt preżenza u direzzjoni taċ-ċavetta.
  • Direttivi tal-awtentikazzjoni, inkluż kwalunkwe referenza għal fajl ta' kredenzjali.
  • Rotot, għażliet DNS u ganċijiet tal-iskript li jaħdmu mal-konnessjoni.

Meta fajl iġorr diversi blokki tal-konnessjoni, żomm kull għażla mal-punt tat-tmiem tagħha. Li tqabbel biss l-ewwel remote linja tista' taqbeż l-alternattiva li l-klijent fil-fatt jagħżel fuq din in-netwerk.

Għaliex diff sempliċi huwa l-għodda ħażina

Diff sempliċi huwa mibni għat-test, mhux għas-sigrieti. Se jipprintja ċavetta privata fl-istorja tal-iskrin bil-qalb, u mhux se jgħidlek li d-direttiva li qed tħares lejha mhijiex rilevanti għall-ħsara. L-estrazzjoni tal-oqsma hija fl-istess ħin aktar sigura u aktar tinqara, għax il-materjal taċ-ċertifikat jista' jiġi mqabbel bħala metadejta minflok bħala bytes.

openssl x509 -in ca.crt -noout -subject -issuer -enddate
openssl x509 -in client.crt -noout -subject -issuer -enddate
grep -E '^(remote|proto|port|tls-auth|tls-crypt|route|dhcp-option)' profile.ovpn

L-ewwel żewġ kmandi jipprintjaw identità u validità mingħajr ma jmissu ċ-ċavetta, għalhekk l-output tagħhom huwa sigur biex tpejjest. grep jipprintja l-ismijiet u l-valuri tad-direttivi imma qatt il-korpi tal-blokki, li jagħmilha l-ewwel pass tajjeb meta tissuspetta differenza fit-trasport jew fir-rotta. Jekk trid tqabbel il-blokk innifsu, qabbel il-hash tiegħu minflok il-kontenut.

Ibni kopja redatta għat-ticket

Neħħi s-sigrieti veri u l-identifikaturi mhux meħtieġa filwaqt li żżomm l-ismijiet tal-oqsma u biżżejjed struttura biex tispjega d-differenza. Markatur tal-istess forma xorta jiżvela fejn jinsab il-materjal u kemm kien twil, għalhekk iddeċiedi jekk anki dan huwiex aċċettabbli. Iċċekkja l-aħħar anness innifsu minflok tafda l-kmand li tiftakar li ħaddimt. Teditjax l-oriġinal li jaħdem biss biex tipproduċi eżempju, għax profil redatt mhux neċessarjament eżekutibbli u m'għandux jiġi importat mill-ġdid.

Żomm l-oriġinali rikonoxxibbli bl-isem tal-fajl u l-hash minflok ma tikkopjahom fi tliet direttorji b'ismijiet simili. String hash huwa biżżejjed biex jipprova liema fajl ġie rivedut u ma jiswa xejn jekk joħroġ. Aqta' l-kopji wara li l-bidla tingħalaq sabiex il-persuna li jmiss tiret fajl wieħed awtorevoli.

Żomm il-paragun marbut ma' falliment

Paragun jistħoqqlu l-ispiża tiegħu meta jwieġeb mistoqsija dwar importazzjoni waħda jew falliment wieħed tal-konnessjoni. Semmi l-ewwel il-pass li jfalli, imbagħad qabbel biss l-oqsma li jiddependi fuqhom dak il-pass; li tiġbor il-kredenzjali kollha tal-klijent f'direttorju wieħed jagħmel it-tixrid li jmiss aktar probabbli u d-dijanjosi li jmiss aktar bil-mod. Iktar ma tkun dejqa l-mistoqsija, iktar tkun qasira l-lista ta' oqsma li jistgħu jwieġbuha.

Jekk fajl ġdid ġie mill-operatur, ikkonferma l-passaġġ tad-distribuzzjoni tiegħu qabel ma tissostitwixxi l-materjal tal-fiduċja. Wara l-bidla, iċċekkja l-kopja importata li l-klijent fil-fatt għażel u r-riżultat innegozjat, għax direttiva tista' tiġi injorata jew tinqara b'mod differenti minn verżjoni oħra tal-klijent. Il-fajl fuq id-diska mhuwiex prova tal-konnessjoni li ġrat. Is-semantika tad-direttivi tinsab fil-manwal OpenVPN 2.6.

Artikli relatati