Kva ein overlevert VPN-profil kan endre på eininga di

Å gje klienten din ein VPN-profil er å gje han ein konfigurasjon skriven av nokon andre, som programmet deretter køyrer på maskina di. Import kan endre kvar den dekte trafikken går, kva motpart eininga di stolar på, og i nokre format kva lokale program som startar når tunnelen kjem opp. Fila er ikkje eit bokmerke; ho er eit lite program i eit deklarativt format.

Les ho slik du ville lese eit skalskript frå same kjelde.

Det er klienten som tolkar ho, ikkje du

Kvart felt i fila er ein instruksjon til ein bestemd klient. Endepunktet og protokollen avgjer kvar tunnelen går, autentiseringsblokka avgjer kva hemmelegheit som krevst, og rutedirektiva avgjer kva som kjem inn i han. Sertifikat eller ein privat nøkkel kan vere innebygde som blokker i staden for å bli refererte som filer, og difor ber éi einskild tekstfil nokre gonger alt som trengst for å gje seg ut for å vere deg overfor ein gateway. Nettopp den eigenskapen gjer tilfeldig fildeling så farleg.

OpenVPN-profilar kan òg bere skriptkrokar, plugin-stiar og eit tryggleiksnivå som avgjer om desse krokane får køyre. Den kombinasjonen er det som gjer ein ukjend profil verd å lese linje for linje i staden for å dobbeltklikke på han. Klienten gjer nøyaktig det fila seier, og han gjer det med rettane dine.

Ruteendringar er synlege etter éi tilkopling

Ein fulltunnelprofil installerer ruter som sender alt gjennom gatewayen, medan ein splittunnelprofil berre sender utvalde prefiks. Nokre profilar skyv òg ein DNS-tenar inn, noko som stille endrar kven som ser spørjingane dine. Ingenting av dette er vondsinna i seg sjølv, og ingenting av det er openbert frå filnamnet.

Samanlikn rutetabellen før og etter den første tilkoplinga, og du ser hensikta med eitt blikk. Ein profil som blir annonsert som tilgang til éin intern applikasjon, men installerar ei breiare standardrute, fortel deg noko om forfattaren.

Tillitsmaterialet og krokane ber den verkelege vekta

Ein profil kan gje VPN-klienten tillitsinformasjon, og ein plattformkonfigurasjonspakke kan gå lenger og installere eit sertifikat eller ei rot i eit systemlager. Det er ulike omfang med ulike følgjer. Tilfellet i klientomfang påverkar valideringa i éin applikasjon; tilfellet på systemnivå påverkar alt som brukar tillitslageret til plattforma.

Skriptkrokar og plugin er den andre halvdelen. Eit direktiv som køyrer ein kommando ved tilkopling, eller ein plugin lasta inn i klientprosessen, har rettane dine og ingenting av sandkassen til klienten. Viss ein profil du ikkje bad om inneheld ein, er det eit spørsmål til personen som sende han.

Ingen av dei to kategoriane er automatisk fiendtlege. Bedriftsutrullingar brukar begge. Poenget er at kvar av dei krev ei forklaring du kan kontrollere.

Stadfest opphavet, og skriv så inn hemmelegheita

Fastslå kven som gav ut fila gjennom ein kanal du allereie stolar på, ikkje gjennom meldinga som leverte ho. Samanlikn detaljane til endepunktet og sertifikatet med den publiserte dokumentasjonen til operatøren. Viss ein profil kom uoppfordra, skaff ein ny direkte frå operatøren i staden for å reparere kopien du fekk. Spør kva klientversjon operatøren støttar, fordi den same fila kan bli tolka annleis av ein annan klient.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

Legg aldri inn eit passord i eit uforklart felt for å sjå om det verkar, og godta aldri ein ukjend rettigheitsførespurnad berre for å fullføre ein import. Ei vellukka tilkopling beviser at endepunktet svara, ikkje meir.

Fjern den importerte kopien, ikkje nedlastinga

Klientar kopierer ein profil til sitt eige lager, så sletting av den nedlasta fila lèt den importerte tilkoplinga vere aktiv. Fjern ho via grensesnittet til klienten sjølv, og kontroller at òg eitkvart sertifikat som vart lagt til under importen er borte. Stadfest deretter at òg rutene han installerte er borte.

Viss eit sertifikat vart installert på systemnivå, er det ikkje nok å fjerne profilen. Den oppryddinga høyrer til tillitsstyringa til plattforma, og ho er verd å gjere medvite i staden for å håpe at neste omstart ordnar det.