Il-fajl .ovpn tiegħek jista' jeżegwixxi kodiċi, mhux biss jirrotta traffiku

Il-biċċa l-kbira tan-nies jaqraw fajl .ovpn kif jaqraw il-paġna tas-settings ta' router: indirizzi, rotot, lista ta' ċifrari. Il-parti li teżegwixxi l-kodiċi tinsab qrib il-qiegħ, ħdejn direttivi li jidhru bħal xogħol ta' plaming, u taħdem b'kull privileġġ li l-klijent diġà għandu. Dik hija l-qasma li jisfruttaha profil traskurat jew malizzjuż, u hija wkoll il-qasma li tibdel assistent DNS utli fi problema ta' appoġġ tliet ġimgħat wara. Id-direttiva tal-avveniment, il-livell tas-sigurtà u s-sjieda tal-fajl jiddeċiedu x'jista' jiġri; il-kontenut tal-iskript jiddeċiedi x'jiġri tassew. Aqra l-erbgħa qabel ma tikkonnettja.

Profil li jġib assistent huwa programm, mhux fajl tas-settings

Direttivi bħal route u dhcp-option jiddeskrivu stat li l-klijent għandu jistabbilixxi, u l-klijent jittrattahom bħala data. Skript up hu differenti: il-klijent iniedih bħala proċess u jagħtih ambjent mimli dettalji tal-konnessjoni, għalhekk dak kollu li kiteb l-awtur tiegħu jaħdem bid-drittijiet tal-kont tiegħek. Fuq laptop fejn l-utent huwa amministratur, dak huwa bieb wiesa' għal fajl li wasal bħala anness jew imwaħħal minn ħajta ta' forum. Id-distinzjoni mhijiex stilistika, hija d-differenza bejn konfigurazzjoni u kodiċi.

Il-mit li jixraq jitwarrab huwa li profil jista' biss jibdel ir-rotta tat-traffiku. Assistent li teżegwixxi ip route add u waħda li teżegwixxi curl kontra host remot huma l-istess mekkaniżmu, u l-profil jidher identiku minn barra. Xejn fid-dehra tal-fajl ma jgħidlek liema għandek, għalhekk ir-reviżjoni trid tasal sa l-iskript innifsu.

X'jiddeċiedi tassew l-eżekuzzjoni, u kif jidhru l-linji li jippermettuha

Tliet affarijiet jikkontrollaw assistent: id-direttiva tal-avveniment li ssemmih, il-livell script-security li jippermettih, u l-implimentazzjoni tal-pjattaforma tal-klijent stess. Profil jista' jitlob ganċ u xorta ma jara xejn iseħħ, għax klijent mobbli jew bini tal-desktop imqaxxar jista' ma jimplimentax dak l-avveniment xejn. Bl-istess mod, profil li jitlob aktar permess milli jeħtieġ il-kompitu tiegħu jgħidlek xi ħaġa dwar l-oriġini tiegħu. Livell ta' permess huwa kapaċità, mhux approvazzjoni. Il-linji li jippermettuha jidhru hekk, bit-triq tieħu post tiegħek.

script-security 2
up /etc/openvpn/update-resolv-conf.sh
down /etc/openvpn/update-resolv-conf.sh

Livell 0 jirrifjuta programmi esterni u livell 1, il-predeffinit, jippermetti biss il-fajls eżegwibbli integrati tal-klijent, għalhekk ganċ jeħtieġ 2 jew ogħla; livell 3 jeżisti l-iktar biex tgħaddi passwords antiki u aħjar tevitàh. Profil li jingħata b'ganċ jeħtieġ kemm id-direttiva kif ukoll dak il-livell, għalhekk linja waħda qrib il-qiegħ tal-fajl tistħoqq l-istess skrutinju bħall-blokk taċ-ċertifikat. Il-manwal OpenVPN jelenka l-livelli ta' permess, u l-kliem tiegħu jixraqlu jinqara ħdejn dak li l-profil tassew jitlob.

Sjieda, triq u x'jingħata jiekol l-assistent

Profil li tafdah imma li jindika lejn skript li kont ieħor jista' jerġa' jikteb mhuwiex arranġament affidabbli, għax ir-reviżjoni ta' bieraħ ma tiddeskrivix aktar dak li qed jaħdem illum. Iċċekkja s-sid u l-mod tal-assistent, u ċċekkja li t-triq konfigurata twassal għall-fajl li spezzjonajt u mhux għal isem li xi ħaġa oħra tista' tqiegħed dell fuqu. L-argumenti u l-ambjent jixirqilhom l-istess ħarsa: il-klijent jgħaddi d-dettalji tal-konnessjoni lill-ganċ, u assistent li jirreġistra l-ambjent kollu tiegħu jista' jkun qed jikteb kredenzjali f'ticket ta' appoġġ. Ippreferi integrazzjoni dokumentata mill-operatur jew mill-pjattaforma minflok skript DNS ikkupjat minn post mhux relatat, għax żewġ maniġers tar-riżolver li jċċekknu fuq l-istess fajl jipproduċu falliment li jidher bħal VPN miksur.

Meta tirrapporta ganċ li jfalli, aħbi l-ambjent qabel ma tpasteh imkien. Id-dump li jgħinek tiddenebbagja jista' wkoll iġorr it-token li jawtentikak.

Fallimenti tat-tindif jidhru wara li t-tunnel ikun telaq

Assistent up iżid rotot u settings tar-riżolver, u l-assistent down suppost ineħħihom mill-ġdid. Meta l-ganċ down ikun nieqes, ifalli bil-kwiet jew qatt ma jgħaddi għax il-klijent inqatel, il-fdalijiet jgħixu iktar mis-sessjoni. Imbagħad it-traffiku jieħu triq li ħadd ma pplana u l-ismijiet jiġu solvuti permezz ta' riżolver li kellu jitneħħa, waqt li t-tunnel innifsu jidher b'saħħtu. Dawn is-sintomi jaslu wara l-iskonnessjoni, għalhekk tinxteħet il-ħtija fuq in-netwerk u mhux fuq il-profil.

Ittestja ż-żarmar bħala pass tiegħu: erfa t-tunnel, innota r-rotot u r-riżolver, niżżlu, imbagħad ikkonferma li t-tnejn tlew. Profil li jikkonnettja b'mod nadif xorta jista' jħalli stat warajh, u kodiċi ta' ħruġ żero mill-assistent ma jippruvax li r-riżolver spiċċa fejn taħseb.

Reviżjoni tal-assistent u żamma ta' ħruġ

Aqra l-iskript mill-bidu sal-aħħar u fittex tliet affarijiet: kmandi li jeħtieġu privileġġ, toroq kodifikati iebsa li jistgħu ma jeżistux fuq is-sistema tiegħek, u kull sejħa tan-netwerk li jagħmel. Imbagħad ara kif ifalli, għax assistent li jibla' l-iżbalji jibdel żball ta' konfigurazzjoni f'misteru. Jekk ma tistax tgħid f'sentenza waħda x'jagħmel l-iskript u min jista' jbiddlu, m'intix lest li tippermettih. Profil li jitlob iktar privileġġ milli jeħtieġ dik is-sentenza huwa s-sinjal biex tieqaf.

Żomm l-aħħar profil li ħa demel u l-assistent li kien jirreferi għalih f'ħażna protetta, bit-tnejn verżjonijiet notati, sabiex l-irtirar ikun kopja u mhux bini mill-ġdid fl-agħar mument possibbli. Jekk l-assistent jeżisti biss għal distribuzzjoni jew verżjoni tal-klijent li m'għadhiex teħtieġu, irtirah fil-konfigurazzjoni li tippossjedi s-setting minflok tgħolli l-privileġġi sakemm jieqfu l-iżbalji. Dak huwa l-ħruġ: inqas partijiet li jiċċaqilqu, mhux iktar permess.