Kif tivverifika s-server ta' profil OpenVPN qabel ma timportah

Xi ħadd jibgħatlek profil, inti timportah, u tletin sekonda wara klijent qed iċempel destinazzjoni li ħadd ma vverifika. Aqra l-fajl l-ewwel f'editur tat-test, għax kull ma jgħodd jinsab f'daqqa ta' direttivi: remote, proto, port, ca, cert, tls-crypt u verify-x509-name. Il-bqija kollu huwa valuri prestabbiliti, u hemmhekk jgħixu s-sorpresi.

Elenka kull punt aħħari li jista' juża l-fajl

Ibda mill-punti aħħarija, għax profil wieħed jista' jżomm diversi. grep -nE '^[[:space:]]*(remote|proto|port|remote-random|connection)' profile.ovpn jistampa kull kandidat fl-ordni tal-fajl, inklużi dawk inkaxxati fil-blokki <connection> sebaris.

Meta direttiva tħalli l-port barra, il-klijent jerġa' lura għall-valur prestabbilit ta' min jisma', allura remote vpn.example.com waħdu jfisser port 1194 ma' kull proto li jidher aktar tard fil-fajl. Diversi linji remote sempliċi huma alternattivi: il-klijent jippruvahom fl-ordni sakemm remote-random jħallathom, u qatt ma jissostitwixxi bil-kwiet host ta' operatur ieħor. Żewġ linji remote fuq domini mhux relatati huwa l-punt fejn tieqaf u tistaqsi liema kienet intiża.

Innota wkoll l-ortografija ta' proto. tcp huwa aċċettat bħala sinonimu għall-tcp-client fuq in-naħa tal-klijent, iżda tcp-server fi profil tal-klijent huwa żball ta' konfigurazzjoni li għandu tendenza jiddendel aktar milli jonqos b'mod nadif.

Ikkonferma l-isem, imbagħad il-port

dig +short vpn.example.com jgħidlek jekk l-isem jeżistix u liema indirizzi jirritorna, u punt aħħari b'ħafna indirizzi jew wara prokura jista' legalment jirritorna diversi. Is-soluzzjoni tal-isem hija prerekwiżit, mhux prova ta' sjieda; kulħadd jista' jindika isem lejn indirizz, u indirizz wieħed jista' jwieġeb għal ħafna ismijiet.

Imbagħad iċċekkja min jisma' fuq il-port li sibt, skont it-trasport. Fuq TCP, openssl s_client -connect vpn.example.com:1194 -servername vpn.example.com jistampa l-katina li jippreżenta s-server. Fuq UDP għandek bżonn DTLS: openssl s_client -dtls1_2 -connect vpn.example.com:1194 iwettaq l-istess handshake fuq datagrammi. Handshake komplut juri li xi ħaġa qed tisma' u għandha ċertifikat, li huwa aktar minn dak li juri ping u inqas minn dak li jesiġu s-settings tal-fiduċja tal-profil innifsu.

Meta l-handshake jonqos u l-host iwieġeb għal ping, il-port huwa probabbilment żbaljat jew iffiltra. Ħu dan bħala raġuni biex titlob il-port korrett, mhux bħala stedina biex tiknes dawk fil-qrib. nc -vzu ukoll jirrapporta suċċess fuq xi stacks bla ma qed jisma' xejn, allura prova UDP għarwiena ma tfisser xejn mingħajr handshake warajha.

Aqra l-pinen tal-fiduċja separati mill-indirizz

L-indirizz jiddeċiedi fejn tmur il-klijent; il-blokk tal-fiduċja jiddeċiedi f'min jemmen meta jasal. verify-x509-name "vpn.example.com" name jappunta l-isem komuni tas-suġġett, u remote-cert-tls server jesiġi l-użu estiż taċ-ċavetta għall-awtentikazzjoni tas-server. Profil li jagħtik operatur għandu jġib it-tnejn.

Fittex ca, blokk <ca> sebaris, u jew tls-crypt jew tls-auth. Profil li juża tls-auth jeħtieġ key-direction 1 fuq il-klijent meta n-naħa tas-server tuża d-direzzjoni 0, u nuqqas ta' qbil ifalli l-handshake b'żball TLS li jinqara bħala difett taċ-ċertifikat. CA sebaris li mhijiex tal-operatur li għadek kemm solvjt ismu tfisser li l-fajl inġema' minn żewġ sorsi, u dan huwa l-każ li jistħoqqlu rifjut sħiħ.

verify-x509-name jaċċetta l-modi name, name-prefix jew subject, u l-aħħar jistenna isem distint sħiħ fl-istess ordni li jistampah is-server. Agħżel mod li jaqbel mal-forma tal-valur, għax il-klijent jirrifjuta kull konnessjoni minflok ma jwissi dwar qrib il-mira. Għal fajl li ma ktibtx int, name b'isem ta' host sempliċi huwa l-għażla l-anqas sorprendenti.

Iċċekkja l-għażliet li jonqsu bil-kwiet

OpenVPN 2.6 jinnegozja ċ-ċifrari permezz ta' data-ciphers, u profil li jġib biss linja antika cipher AES-256-CBC jista' jlesti l-kanal tal-kontroll u mbagħad jieqaf fuq id-dejta. Il-qari ta' dak il-valur jgħidlek jekk il-fajl huwiex eqdem mis-server li qed tissieħeb miegħu; il-paġna tal-manwal ta' 2.6 telenka l-ordni tan-negozjar jekk ikollok bżonn tiċċitaha lill-operatur.

auth-user-pass mingħajr isem tal-fajl ifisser li l-klijent se jistaqsi, allura profil li jidher awtosuffiċjenti xorta jeħtieġ kredenzjali. auth-user-pass credentials.txt ifisser li jistenna fajl li probabbilment ma ntbagħatx lilek. nobind u resolv-retry infinite huma ordinarji u bla ħsara, filwaqt li explicit-exit-notify huwa biss għal UDP u mingħajr sens fuq TCP.

Xejn minn dan ma jbiddel fejn jikkonnettja l-profil, iżda kull wieħed ibiddel jekk jikkonnettjax affattu, u xejn minnhom mhuwa viżibbli fid-djalogu tal-importazzjoni tal-klijent.

Iddeċiedi, imbagħad irreġistra dak li ddeċidejt

Wara dan il-qari hemm tliet riżultati, u wieħed biss huwa importazzjoni. Meta l-punt aħħari u l-pinen jaqblu ma' struzzjonijiet li ksibt permezz ta' kanal separat, importah. Meta l-punt aħħari jidher korrett iżda l-pinen jew is-CA ma jaqblux, itlob fajl ikkorreġut. Meta l-fajl iħallat punti aħħarija jew materjal CA minn sorsi differenti, ħassru u itlob kopja friska.

Irreġistra l-hash li rrevedejt, biex il-persuna li jmiss tkun taf jekk il-fajl inbidilx: sha256sum profile.ovpn, imwaħħal ħdejn il-punt aħħari fin-noti tiegħek. Profil huwa arranġament sħiħ, mhux lista ta' indirizzi, allura qatt ma ddaħħal remote li jaħdem fil-blokk tal-fiduċja ta' ħadd ieħor waqt li żżomm il-kredenzjali tagħhom.

Żomm ċavetti privati u passwords 'il barra minn screenshots u ħjut taċ-chat waqt li tqabbel in-noti. Il-punt aħħari u l-għażliet mhux sigrieti biżżejjed biex tistaqsi mistoqsija preċiża, u l-bqija postu fil-fajl.

Jekk xorta timportah u l-ewwel tentattiv jonqos, ħaddem il-klijent b'--verb 3 u aqra l-ewwel għaxar linji: l-indirizz remote solvut, il-proto nnegozjat u l-iżball TLS jidhru f'dan l-ordni, li jgħidlek liema mill-verifiki ta' fuq għaddejt.