د VPN عامه ترتیبات کار کول بند کړل؟ د ناکامۍ پړاو ولولئ
ډاونلوډ شوې پروفایل په یوه ورځ کې یو هوسټ بیانوي. ولولئ کومه ادعا ماتې شوه، هغه سند وګورئ چې بل اړخ وړاندې کوي، او تصدیق هېڅکله مه بندوئ.
پروفایل سهشنبه کار کاوه، او جمعه کلاینټ دېرش ثانیې څرخي او تسلیمېږي۔ ستاسو په ماشین کې هېڅ نه دی بدل شوی۔ همدا خبره ده: ډاونلوډ شوې ترتیبات په یوه شیبه کې یو هوسټ بیانوي، او بلې خوا ته عملیاتو ته هیڅ مکلفیت نشته چې هغه بیان رښتینی وساتي۔ هڅونه دا ده چې د امنیت تنظیمات بدل کړئ تر څو تونل بېرته پورته شي۔ همدا جبلی حرکت دی چې خلک په پای کې د سند تصدیق بند شوي پروفایل چلولو ته رسوي، چې له تونل نه لرلو هم بدتر دی۔
دوتنه یوه شیبه بیانوي، نه قرارداد
د ترتیباتو دوتنه د ادعاوو ټولګه ده: دا کوربهنوم په دې پورټ کې په دې پروتوکول غوږ نیسي، له دې نوم سره سم سند وړاندې کوي، او دا اعتبارنامې مني۔ کله چې هر یو یې رښتینی نه وي، دوتنه زړه ده او سمون د پولې د عملیاتو خواته دی، نه ستاسو په تنظیماتو کې۔
عامه نوډ لړلیکونه خپل طبیعت له مخې دا څرګندوي۔ نوډونه رضاکاران چلوي، ښکاري او ورکېږي، پتې بیا کارول کېږي او پورټونه هغه شبکه بندوي چې دوی یې شاته دي۔ لړلیک هغه انځور دی چې بیا جوړېږي، او ستاسو په ډیسک کې کاپي د زړې انځور عکس دی۔
سوداګریز خدمتونه ورو بدلېږي، مګر هېڅکله نه۔ د سندونو مقامات ګرځي، اورېدونکی له شریکې پتې څخه ځانګړې پتې ته ځي، زوړ پروتوکول لیرې کېږي او نوی د کوډونو لړلیک راځي۔ هر یو له دې ناڅرګند دی تر څو ستاسو کلاینټ د نښلولو هڅه وکړي او له هغه څخه بېل ځواب ترلاسه کړي چې دوتنه یې تمه لري۔
د یوې تنظیم له لمس کولو دمخه د ناکامۍ پړاو ولولئ
د تېروتنې پیغام وایي کومه ادعا ماتې شوه، او هرې ادعا بېل سمون لري۔ کله چې کوربهنوم نور نه حل کېږي کوډونه سمول یوه ماسپښین ضایع کوي او هیچا ته هېڅ نه ښیي۔
| What happens | The assertion that broke | Supported response |
|---|---|---|
| Name never resolves | The host still exists under that name | Get a current endpoint from the operator |
| TCP connect times out | The listener is on that port and reachable | Check the current published port, then the local network |
| TLS or key exchange fails | The peer presents the expected identity | Compare the certificate, not the cipher list |
| Authentication rejected | The account is still valid | Get credentials reissued or stop using the service |
dig +short vpn.example.net
curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect}\n' --max-time 8 https://vpn.example.net:443/
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/nullمنځنې کرښه بنده شوې لار له ماتې شوې لاسوهنې څخه بېلوي، او درېیمه د هغه سند خپرونکی او د اعتبار نیټې ښیي چې په رښتیا وړاندې کېږي۔ که هغه خپرونکی هغه نه وي چې پروفایل ټینګ کړی، سند بدل شوی، او هېڅ کلاینټ اړخ انتخاب به زوړ ټینګول بیا سم نه کړي۔
د سند او هویت بدلونونه هغه چوپ دي
ډېری ناکامۍ ځان اعلانوي۔ د هویت بدلونونه نه، ځکه هغه کلاینټ چې د سند نوم ټینګوي به یو بشپړ ښه نوی سند رد کړي په داسې پیغام سره چې ډېر خلک یې بګ ګڼي۔ تونل سم دی۔ ټینګول زوړ دی۔
د هرې نتیجې دمخه د هویت انتخابونه وپلټئ:
grep -nE '^(remote|proto|auth|verify-x509-name|tls-crypt|key-direction|ca) ' profile.ovpn
openssl x509 -in profile-ca.crt -noout -subject -datesکه پروفایل دننه CA لري او عملیاتو نوي مقام ته تللي، زړه دوتنه نشي کولی نوی سرور تصدیق کړي۔ د CA بلاک په عملیاتو خپرې شوې بلاک بدلول قانوني سمون دی۔ د تصدیق لارښود ړنګول نه، او دا هماغه کیلي فشارونه دي په بشپړ بېل نتیجه۔
د کلاینټ لوړول کولی شي هماغه نښه پیدا کړي پرته له دې چې عملیاتو ته بدلون راشي۔ هغه انتخابونه چې په چوپتیا برداشت کېدل اوس ردېږي، یا زوړ پروتوکول لیرې کېږي۔ دا ستاسو په سافټویر کې د مطابقت حد دی، او ارزښت لري چې په هماغه کلاینټ کې دویم پروفایل وآزموئ دمخه له دې چې سرور ملامت کړئ۔
یوازې عملیات کولی شي د اعتبار وړ بدیل خپور کړي
کله چې نوډ ورک شي، بدیل باید له هماغه سرچینې څخه راشي چې اصلي یې خپره کړې وه۔ هغه پروفایل چې په مستقیم پیغام کې راځي ځکه چې «هماغه سرور نوم کاروي» د ناپېژاند اړخ ناازمویل شوې ترتیبات دي، او د هغې واردول هغه اړخ ته ستاسو د لارښوونې کنټرول ورکوي۔
کتل ارزان دي۔ اوسنې دوتنه له خپرې شوې ځایه راوړئ، د پای ټکی او پروتوکول له لړلیک سره پرتله کړئ، او د CA موادو د ګوتې نښه تایید کړئ پرځای له دې چې د دوتنې نوم ته باور وکړئ:
curl -sS -o current.ovpn https://example.org/nodes/current.ovpn
sha256sum current.ovpn profile.ovpn
grep -nE '^(remote|proto) ' current.ovpnکه دوه هش یوازې په تشو ځایونو کې بېل وي، دا د بڼې بدلون دی۔ که په پای ټکو کې بېل وي، عملیاتو یو څه لېږدولي او خپرې شوې دوتنه واکمنه ده۔ که خپرې شوې دوتنه ستاسو له دوتنې زړه وي، تاسو شاید کیش ته ګورئ، او زوړ ځواب به تاسو غلط لوري ته ولېږي۔
زوړه ننوتنه تقاعد کړئ او ولیکئ چې څه وشول
کله چې کاري بدیل تایید شو، زوړ پروفایل ړنګ کړئ پرځای له دې چې د بیکاپ په توګه یې وساتئ۔ هغه زړه ننوتنه چې نیمګړې نښلېږي یوه تله ده: د خنډ پر مهال به غوره شي، ورو به ناکامه شي، او څوک چې ډیبګ کوي به لومړنۍ لس دقیقې په غلطه دوتنه تېرې کړي۔
له ترتیباتو بهر یوه لنډه ثبت وساتئ: نیټه، زوړ پای ټکی، د ناکامۍ پړاو او څه چې بدل یې کړ۔ عامه نوډونه بدلېږي، او شپږ اونۍ وروسته هماغه پوښتنه له بل کس سره راځي۔ په یادونو دوتنه کې یوه کرښه په ثانیو کې ځواب ورکوي۔
که له یوې شبکې هر نوډ په هماغه توګه ناکام شي او له بلې هېڅ یو نه، نو پروفایلونه سمول ودروئ او سیمهایزه لار وګورئ۔ یو بندي پورټال، یوه فلټره شوې پورټ لړ یا یو منځګړی پروکسي به په ناتړلو برابرونکو کې ورته تېروتنې پیدا کړي، او همدا بڼه یوازینۍ نښه ده چې ستونزه هېڅکله دوتنه نه وه۔