Il-livelli script-security ta' OpenVPN minn 0 sa 3, u x'jiftaħ kull wieħed
Kull livell script-security iwessa' dak li profil jista' jwettaq: l-ewwel għajnuna amministrattiva, imbagħad skripts tal-utent, imbagħad passwords fl-ambjent. Aqra d-direttivi.
Importa profil fi klijent tad-desktop u l-ewwel falliment spiss ikun linja li l-klijent jirrifjuta li jonora: hook ta' skript li mhux se jwettaq, jew valur script-security li jqis bħala wisq permissiv. Iż-żieda tan-numru tneħħi d-djalogu. Iżda twessa' wkoll dak li dak il-profil jista' jwettaq fuq il-magna tiegħek, li hija ħaġa stramba li tagħti biss biex tagħlaq twissija. Segwi l-importazzjoni sad-direttiva u d-deċiżjoni ssir konkreta.
Mid-djalogu tal-importazzjoni għad-direttiva
Il-profil huwa fajl tat-test bid-direttivi, u l-klijent jaqrahom qabel ma jeżisti xi tunnel. Direttiva bħal up, down jew tls-verify issemmi programm estern li OpenVPN għandu jwettaq f'mument definit. Jekk OpenVPN huwiex lest iwettaqha hija setting separata msejħa script-security, u l-profil normalment jistabbilixxiha wkoll.
Allura t-twissija mhix dwar il-kriptografija jew iċ-ċertifikati. Hija dwar fajl ta' konfigurazzjoni li jitlob lill-klijent iwettaq xi ħaġa fuq il-host, u dwar il-klijent li jiċċekkja jekk il-livell tal-permess attwali tiegħu jippermettix dik it-talba.
F'dan l-istadju żewġ fallimenti differenti jidhru l-istess. Profil li jitlob livell li l-klijent mhux se jagħti jipproduċi rifjut. Profil li jitlob livell li l-klijent jagħti iżda l-iskript nieqes jipproduċi minflok falliment waqt it-tħaddim, u t-tnejn jiġu konfużi fil-ħjut tal-appoġġ. Wieħed hija kwistjoni ta' permessi u l-ieħor kwistjoni ta' ppakkjar.
X'jiftaħ tassew kull livell
Il-livell 0 jipprojbixxi għal kollox is-sejħiet għal programmi esterni, li huwa koerenti għal klijent li jikkonfigura l-interface tiegħu stess mingħajr għajnuna u mhux koerenti għal wieħed li jsejjaħ is-sistema operattiva. Il-livell 1, il-default, jippermetti l-eżegwibbli integrati li l-konfigurazzjoni tal-interface u tar-rotot teħtieġ. L-ebda livell ma jwettaq xi ħaġa li pprovda l-utent.
| Level | What OpenVPN may execute | What it exposes |
|---|---|---|
| 0 | No external programs at all | Interface and route setup must not depend on helpers |
| 1 (default) | Built-in helpers such as ip, ifconfig, route or netsh | Privileged commands the platform already ships |
| 2 | Built-in helpers plus user-defined scripts | Whatever the named script does with the client's privileges |
| 3 | Everything above, plus passwords in environment variables | Credentials visible to child processes and their logs |
Il-livell 2 huwa l-konfini interessanti, għax jammetti skripts definiti mill-utent. Minn dak il-punt il-privileġġi tal-klijent japplikaw għal kodiċi li forsi qatt ma qrajt, imsejjaħ f'mumenti li ma għażiltx, f'ambjent li jinkludi dettalji tal-konnessjoni. Il-livell 3 imur aktar 'il bogħod u jippermetti li l-passwords jgħaddu permezz ta' varjabbli tal-ambjent, u għalhekk il-manwal jiddeskrivih bħala potenzjalment mhux sigur.
L-ebda wieħed minn dawn in-numri mhuwa setting ta' saħħa. Profil fil-livell 3 m'għandux encryption aħjar minn wieħed fil-livell 1; sempliċement għandu superfiċje ta' eżekuzzjoni akbar, u t-tunnel huwa identiku.
Iddeċiedi x'jistħoqqlu l-profil
Staqsi għal xiex huwa l-iskript qabel ma tistaqsi liema livell jeħtieġ. Hook li jimbotta s-settings tad-DNS jew jissewwi rotta wara li jikkonnettja huwa raġuni leġittima biex twettaq xi ħaġa. Hook li jsejjaħ binariju mhux magħruf f'direttorju temporanju hija raġuni biex tieqaf.
Il-passaġġ tal-iskript huwa importanti daqs l-iskript. Passaġġ relattiv jiġi riżolt kontra d-direttorju li juża l-klijent, u direttorju li jista' jinkiteb fih ibiddel importazzjoni darba waħda fi slot ta' eżekuzzjoni permanenti. Passaġġi assoluti f'direttorju li l-utent ma jistax jimmodifika huma l-forma li għandha tiġi preferuta.
L-iskripts jirtu wkoll l-ambjent tal-klijent, fejn jgħixu l-kredenzjali u l-metadata tal-konnessjoni. Dan il-wirt huwa eżattament dak li jagħmel il-livell 3 perikoluż flimkien ma' skript li jirreġistra l-ambjent tiegħu, u huwa r-raġuni għaliex dump dijanjostiku minn klijent b'skripts attivi jistħoqqlu tieni ħarsa qabel ma jiġi mgħaffeġ f'tikketta. Neħħi l-ambjent qabel ma taqsamh.
grep -nE 'script-security|^up |^down |tls-verify' client.ovpnIbdel ħaġa waħda, imbagħad osserva wkoll it-tiżmonta
Jekk il-profil tassew jeħtieġ skript, ibdel biss il-livell u biss għal dak il-profil. Ħaddem il-klijent fil-quddiem b'output dettaljat sabiex l-iżbalji tal-iskript stess ikunu viżibbli minflok ma jinbelgħu minn maniġer tas-servizzi.
openvpn --config client.ovpn --script-security 2 --verb 3
ip route show defaultIttestja ċ-ċiklu tal-ħajja kollu, mhux biss il-konnessjoni. Hook tal-għeluq li jonqos iħalli rotot li jindikaw lejn tunnel mejjet, li jipproduċi magna li tidher konnessa u ma tasal imkien. Erġa' konnettja darba u skonnettja darba qabel ma tiddikjara l-bidla mitmuma, u ċċekkja t-tabella tar-routing wara kull wieħed.
Żomm kopja tal-profil oriġinali. Jekk klijent tal-pjattaforma ma jimplimentax l-istess mudell ta' skripts, it-tħassir tad-direttivi sakemm l-importazzjoni tirnexxi jista' jneħħi l-integrazzjoni tad-DNS jew tar-rotot li t-tunnel kien jeħtieġ, u l-konnessjoni li tirriżulta tawtentika b'mod perfett filwaqt li ma ssolvi xejn.
Id-deċiżjoni li għandha tiġi rreġistrata hija dejqa: liema skript, fuq liema passaġġ, mogħtija f'liema livell, għal liema profil. Kull ħaġa oħra fil-profil tibqa' mhux mibdula, u din hija sentenza li reviżur jista' jivverifika.