د OpenVPN پروفایل سرور له واردولو مخکې څنګه وګورئ

یو څوک تاسو ته پروفایل لېږي، تاسو یې واردوئ، او دېرش ثانیې وروسته یو کلاینټ هغه ځای ته زنګ وهي چې چا نه دی کتلی۔ لومړی فایل په متن سمونکي کې ولولئ، ځکه چې هر مهم شی په یوې مشتې لارښوونو کې ځای کېږي: remote, proto, port, ca, cert, tls-crypt او verify-x509-name۔ نور هر څه تلوالېز ارزښتونه دي، او حیرانتیاوې هماغلته اوسېږي۔

هر هغه پای ټکی ولیکئ چې فایل یې کارولی شي

له پای ټکو پیل وکړئ، ځکه چې یو پروفایل څو لرلی شي۔ grep -nE '^[[:space:]]*(remote|proto|port|remote-random|connection)' profile.ovpn هر نوماند د فایل په ترتیب چاپوي، په شمول هغه چې په انلاین <connection> بلاکونو کې دننه وي۔

کله چې لارښوونه پورټ پرېږدي، کلاینټ د اورېدونکي تلوالېز ارزښت ته راستون کېږي، نو یوازې remote vpn.example.com مانا پورټ 1194 ده، که په فایل کې وروسته هر proto راشي۔ څو ساده remote کرښې بدیلونه دي: کلاینټ هغه په ترتیب ازموي، پرته له دې چې remote-random یې ګډې کړي، او هېڅکله په خاموشۍ کې د بل چلونکي هوسټ نه بدلوي۔ په ناتړلو ډومینونو کې دوه remote کرښې هغه ځای دی چې ودروئ او پوښتنه وکړئ کومه یې مطلوبه وه۔

د proto املا ته هم پام وکړئ۔ tcp د کلاینټ خوا tcp-client لپاره مترادف منل کېږي، خو په کلاینټ پروفایل کې tcp-server د ترتیب غلطي ده چې د پاکې ناکامۍ پر ځای ځړېدلو ته مخه کوي۔

لومړی نوم، بیا پورټ تایید کړئ

dig +short vpn.example.com تاسو ته وایي چې نوم شته که نه او کوم پتې بېرته راګرځوي، او څوپتې یا د پروکسي شاته پای ټکی کولای شي په قانوني ډول څو بېرته راوګرځوي۔ د نوم حل کېدل مخکینۍ شرط دی، د مالکیت ثبوت نه؛ هر څوک کولای شي نوم یوې پتې ته اشاره کړي، او یوه پته کولای شي د ډېرو نومونو ځواب ووایي۔

بیا هغه پورټ چې وموندل مو په اورېدونکي وګورئ، د لېږد سره سمون ورکړئ۔ په TCP باندې openssl s_client -connect vpn.example.com:1194 -servername vpn.example.com هغه زنځیر چاپوي چې سرور یې وړاندې کوي۔ په UDP باندې تاسو ته DTLS ته اړتیا ده: openssl s_client -dtls1_2 -connect vpn.example.com:1194 هماغه لاس ورکول د ډیټاګرامونو په سر ترسره کوي۔ بشپړ شوی لاس ورکول ثابتوي چې یو څه اورېدل کوي او سند لري، چې د ping له ښودنې ډېر او د پروفایل د خپلو باور تنظیماتو له غوښتنې کم دی۔

کله چې لاس ورکول ناکام شي او هوسټ ping ته ځواب ووایي، پورټ ښايي غلط یا فلټر شوی وي۔ دا د سم پورټ غوښتلو لامل وګڼئ، نه د نږدې پورټونو پاکولو بلنه۔ nc -vzu هم په ځینو سټیکونو کې بریا راپور کوي چې هېڅ شی اورېدل نه کوي، نو یوازې وچ UDP ازموینه پرته له شاته لاس ورکولو هېڅ مانا نه لري۔

د باور پنونه له پتې جلا ولولئ

پته ټاکي چې کلاینټ چېرته ځي؛ د باور بلاک ټاکي چې رسېدو وروسته چا ته باور کوي۔ verify-x509-name "vpn.example.com" name د موضوع عمومي نوم پن کوي، او remote-cert-tls server د سرور د تصدیق لپاره د پراخ شوي کیلي کارول غواړي۔ هغه پروفایل چې چلونکی یې درکوي باید دواړه ولري۔

ca، انلاین <ca> بلاک، او یا tls-crypt یا tls-auth ولټوئ۔ هغه پروفایل چې tls-auth کاروي په کلاینټ کې key-direction 1 ته اړتیا لري کله چې د سرور خوا 0 لوری کاروي، او ناسمونې لاس ورکول د TLS غلطي سره ناکاموي چې د سند د خرابۍ په څېر لوستل کېږي۔ هغه انلاین CA چې هغه چلونکي ته نه تړل کېږي چې همدا اوس یې نوم حل کړ، مانا فایل له دوو سرچینو څخه جوړ شوی، او همدا هغه حالت دی چې باید په کلکه رد شي۔

verify-x509-name name, name-prefix یا subject حالتونه مني، او وروستی بشپړ توپیر کوونکی نوم په هماغه ترتیب غواړي چې سرور یې چاپوي۔ هغه حالت وټاکئ چې د ارزښت شکل سره سمون لري، ځکه چې کلاینټ د نږدې تېروتنې خبرداری ورکولو پر ځای هر اړیکه ردوي۔ هغه فایل لپاره چې تاسو نه دی لیکلی، د ساده هوسټ نوم سره name تر ټولو لږ حیران کوونکی انتخاب دی۔

هغه اختیارونه وګورئ چې په خاموشۍ کې ناکامېږي

OpenVPN 2.6 د data-ciphers له لارې د سایفرونو خبرې اترې کوي، او هغه پروفایل چې یوازې زوړ cipher AES-256-CBC کرښه لري کولای شي کنټرول چینل بشپړ کړي او بیا پر ډیټا ودرېږي۔ د هغه ارزښت لوستل تاسو ته وایي چې فایل له هغه سرور څخه زوړ دی چې تړل کېږئ که نه؛ د 2.6 لارښود پاڼه د خبرو اترو ترتیب لیستوي، که اړتیا وه چې چلونکي ته یې نقل کړئ۔

پرته له فایل نوم auth-user-pass مانا کلاینټ به پوښتنه وکړي، نو هغه پروفایل چې ځان بشپړ ښکاري هم اسنادو ته اړتیا لري۔ auth-user-pass credentials.txt مانا هغه فایل ته انتظار کوي چې ښايي تاسو ته نه دی لېږل شوی۔ nobind او resolv-retry infinite عادي او بې زیان دي، په داسې حال کې چې explicit-exit-notify یوازې UDP لپاره دی او په TCP باندې بې ګټې۔

له دې څخه هېڅ یو نه بدلوي چې پروفایل چېرته تړل کېږي، خو هر یو بدلوي چې ایا تړل کېږي که نه، او هېڅ یو یې د کلاینټ په واردولو خبرو کې نه ښکاري۔

پرېکړه وکړئ، بیا ولیکئ چې څه پرېکړه وکړه

له دې لوستلو وروسته درې پایلې شته، او یوازې یوه واردول ده۔ کله چې پای ټکی او پنونه له هغو لارښوونو سره سمون ولري چې په بېل چینل ترلاسه کړي، نو وارد یې کړئ۔ کله چې پای ټکی سم ښکاري خو پنونه یا CA سمون نه لري، سم شوی فایل وغواړئ۔ کله چې فایل د بېلو سرچینو پای ټکي یا CA توکي ګډ کړي، ړنګ یې کړئ او نوی کاپي وغواړئ۔

هغه هش چې کتلی مو ولیکئ، تر څو بل کس پوه شي چې فایل بدل شو که نه: sha256sum profile.ovpn، په خپلو یادښتونو کې د پای ټکي ترڅنګ یې ونینځئ۔ پروفایل د پتو لیست نه، بشپړ ترتیب دی، نو هېڅکله یو کارکوونکی remote د بل چا د باور بلاک ته د هغوی اسنادو ساتلو سره مه نښلوئ۔

د یادښتونو پرتله کولو پر مهال شخصي کیلي او پټنومونه له سکرین شاټونو او چټ تارونو لرې وساتئ۔ پای ټکی او نه پټ اختیارونه د دقیقې پوښتنې لپاره بس دي، او پاتې یې په فایل کې وي۔

که یې وارد کړئ او لومړی هڅه ناکامه شي، کلاینټ د --verb 3 سره چل کړئ او لومړنۍ لس کرښې ولولئ: حل شوې remote پته، خبرې شوی proto او TLS غلطي په همدې ترتیب راځي، چې تاسو ته وایي پورتنۍ کومه کتنه مو پرېښوده۔