कुञ्जी चुहावट नगरी दुई OpenVPN प्रोफाइल तुलना गर्नुहोस्

दुई प्रोफाइल, एउटा जोडिन्छ र अर्को जोडिँदैन, र कारण देख्ने छिटो बाटो diff हो। समस्या यो हो कि त्यही diff ले इनलाइन निजी कुञ्जी, स्थिर कुञ्जी र फाइलले बोकेको जुनसुकै प्रमाण-पत्र ब्लक छाप्छ, र मानिसहरूले ध्यान दिनुअघि नै आउटपुट च्याटमा टाँस्छन्। तपाईं के तुलना गर्दै हुनुहुन्छ भन्ने निर्णय आदेश चलाउनुअघि आउँछ। सुरक्षित प्रतिहरूमा संरचना र भूमिकाको तुलना गर्नुहोस्, र अरू कसैले हेर्नु पर्ने भए छुट्टै सम्पादित फाइल बनाउनुहोस्।

.ovpn फाइलले वास्तवमा के बोक्छ

एउटा .ovpn फाइल वैकल्पिक इनलाइन ब्लक भएको कन्फिगरेसन हो। यसले CA प्रमाणपत्र, क्लाइन्ट प्रमाणपत्र, निजी कुञ्जी, tls-auth वा tls-crypt कुञ्जी, र बाह्य फाइलतिर सङ्केत गर्ने वा प्रमाण-पत्र माग्ने निर्देशनहरू राख्न सक्छ। दुई फाइल लगभग समान देखिन सक्छन् र केवल ब्लकभित्र मात्र फरक पर्न सक्छन्, वा यातायात पूर्ण रूपमा बदल्ने एउटा निर्देशनमा फरक पर्न सक्छन्। लाइन सङ्ख्याले तीमध्ये के भयो भनी केही बताउँदैन।

कुञ्जी ब्लकभित्रको फरक कुनै कुराको सार्वजनिक प्रमाण होइन। पुनः जारी गरिएको प्रमाणपत्र र नयाँ कुञ्जी भएको प्रमाणपत्रले एउटै आकारको परिवर्तन दिन सक्छन्, त्यसैले ब्लकको असङ्गति भन्छ सामग्री फरक छ, कुन निर्णयले यो बनायो भनेर होइन। यसलाई क्षेत्रहरू तुलना गर्ने सङ्केतका रूपमा लिनुहोस्, निष्कर्षका रूपमा होइन।

लाइनअनुसार होइन, भूमिकाअनुसार तुलना गर्नुहोस्

जडानको आफ्नै क्रम पछ्याउनुहोस्: पहिले अन्त्य बिन्दु र यातायात, त्यसपछि विश्वास र अपेक्षित पहिचान, त्यसपछि प्रयोगकर्ता प्रमाणीकरण, त्यसपछि मार्ग, DNS र स्क्रिप्ट हुक। त्यो क्रम क्लाइन्टले गर्नेसँग मिल्छ, त्यसैले तपाईंले भेट्ने पहिलो फरक जडान तोड्न सक्ने पहिलो कुरा हो। यसको सट्टा वर्णानुक्रममा तुलना गर्दा सम्बन्धित सेटिङहरू सम्पूर्ण आउटपुटमा छरिन्छन्।

क्षेत्र-सचेत पासले यी वस्तुहरूलाई त्यही क्रममा हेर्छ। क्लाइन्टले अन्तरक्रियात्मक रूपमा सोध्ने जुनसुकै कुरा विश्वासका लाइनको होइन, प्रमाणीकरणको लाइनको हो।

• remote, proto र पोर्ट, प्रत्येक जडान ब्लक सहित।
• ca र cert: जारीकर्ता, विषय र म्याद सकिने मिति।
• निजी कुञ्जी नै छ कि छैन, कहिल्यै के छ भनेर होइन।
• tls-auth वा tls-crypt को उपस्थिति र कुञ्जीको दिशा।
• प्रमाणीकरण निर्देशनहरू, कुनै पनि प्रमाण-पत्र फाइलको सन्दर्भ सहित।
• जडान हुँदा चल्ने मार्ग, DNS विकल्प र स्क्रिप्ट हुक।

फाइलमा धेरै जडान ब्लक भए, प्रत्येक विकल्पलाई यसको अन्त्य बिन्दुसँगै राख्नुहोस्। केवल पहिलो remote लाइन तुलना गर्दा क्लाइन्टले यो सञ्जालमा वास्तवमै छान्ने विकल्प छुट्न सक्छ।

सामान्य diff किन गलत उपकरण हो

सामान्य diff पाठका लागि बनाइएको हो, रहस्यका लागि होइन। यसले खुसीसाथ निजी कुञ्जी स्क्रोलब्याकमा छाप्छ, र तपाईंले हेरिरहनुभएको निर्देशन असफलतासँग सम्बन्धित छैन भनी बताउँदैन। क्षेत्र निकासी एकैचोटि बढी सुरक्षित र बढी पढ्नयोग्य हुन्छ, किनकि प्रमाणपत्रको सामग्री बाइटको सट्टा मेटाडाटाका रूपमा तुलना गर्न सकिन्छ।

openssl x509 -in ca.crt -noout -subject -issuer -enddate
openssl x509 -in client.crt -noout -subject -issuer -enddate
grep -E '^(remote|proto|port|tls-auth|tls-crypt|route|dhcp-option)' profile.ovpn

पहिला दुई आदेशले कुञ्जीलाई छुनुबिनै पहिचान र वैधता छाप्छन्, त्यसैले तिनको आउटपुट टाँस्न सुरक्षित छ। grep ले निर्देशनका नाम र मान छाप्छ तर कहिल्यै ब्लकको शरीर होइन, जसले यातायात वा मार्गसम्बन्धी फरक शङ्का लाग्दा यसलाई सही पहिलो पास बनाउँछ। ब्लककै तुलना गर्नु परे सामग्रीको सट्टा यसको ह्यास तुलना गर्नुहोस्।

टिकटका लागि सम्पादित प्रतिलिपि बनाउनुहोस्

फरक व्याख्या गर्न क्षेत्रका नाम र पर्याप्त संरचना राखेर वास्तविक रहस्य र अनावश्यक पहिचानकर्ता हटाउनुहोस्। एउटै आकारको चिन्हले अझै पनि सामग्री कहाँ छ र कति लामो थियो भन्ने खुलासा गर्छ, त्यसैले त्यो पनि स्वीकार्य छ कि छैन निर्णय गर्नुहोस्। तपाईंले चलाएको सम्झिएको आदेशमा भरोसा गर्नुको सट्टा अन्तिम संलग्न फाइल आफैँ जाँच्नुहोस्। केवल उदाहरण बनाउन काम गर्ने मूल फाइल सम्पादन नगर्नुहोस्, किनकि सम्पादित प्रोफाइल चलाउनयोग्य हुन्छ भन्ने निश्चित छैन र यसलाई फेरि कहिल्यै आयात गर्नु हुँदैन।

मूल फाइलहरूलाई समान नामका तीन फोल्डरमा प्रतिलिपि गर्नुको सट्टा फाइलको नाम र ह्यासले चिनिने बनाइराख्नुहोस्। ह्यास स्ट्रिङ कुन फाइल समीक्षा गरियो भनी प्रमाणित गर्न पर्याप्त छ र चुहिए पनि केही खर्च गर्दैन। परिवर्तन बन्द भएपछि प्रतिलिपिहरू छाँटिदिनुहोस्, ताकि अर्को व्यक्तिले एउटै आधिकारिक फाइल पाओस्।

तुलनालाई असफलतासँग बाँधिराख्नुहोस्

तुलना आफ्नो लागतको योग्य हुन्छ जब यसले एउटा आयात वा एउटा जडान असफलताबारे प्रश्नको उत्तर दिन्छ। पहिले असफल हुने चरणको नाम लिनुहोस्, त्यसपछि त्यस चरणमा निर्भर क्षेत्रहरूको मात्र तुलना गर्नुहोस्; क्लाइन्टका सबै प्रमाण-पत्र एउटै फोल्डरमा जम्मा गर्दा अर्को चुहावटको सम्भावना बढ्छ र अर्को निदान ढिलो हुन्छ। प्रश्न जति साँघुरो, उत्तर दिन सक्ने क्षेत्रहरूको सूची त्यति छोटो।

नयाँ फाइल अपरेटरबाट आएको हो भने विश्वासको सामग्री बदल्नुअघि यसको वितरण मार्ग पुष्टि गर्नुहोस्। परिवर्तनपछि, क्लाइन्टले वास्तवमै छानेको आयातित प्रतिलिपि र सहमत भएको नतिजा जाँच्नुहोस्, किनकि कुनै निर्देशन अर्को क्लाइन्ट संस्करणले बेवास्ता गर्न वा फरक तरिकाले पढ्न सक्छ। डिस्कमा रहेको फाइल चलेको जडानको प्रमाण होइन। निर्देशनहरूको अर्थ OpenVPN 2.6 पुस्तिकामा.