OpenVPN හි script-security මට්ටම් 0 සිට 3 දක්වා, සහ එක් එක් මට්ටම විවෘත කරන දේ
සෑම script-security මට්ටමක්ම පැතිකඩකට ක්‍රියාත්මක කළ හැකි දේ පුළුල් කරයි: පළමුව පරිපාලන සහායක, පසුව පරිශීලක ස්ක‍්‍රිප්ට්, පසුව පරිසරයේ මුරපද. උපදෙස් කියවන්න.
පැතිකඩක් ඩෙස්ක්ටොප් සේවාලාභියෙකුට ආයාත කරන්න, පළමු අසාර්ථකත්වය බොහෝ විට සේවාලාභියා ගරු කිරීමට ප්‍රතික්ෂේප කරන පේළියකි: එය ක්‍රියාත්මක නොකරන ස්ක‍්‍රිප්ට් කොක්කක්, නැතහොත් ඉතා අවසරදායක ලෙස එය සලකන script-security අගයක්. අංකය ඉහළ නැංවීමෙන් සංවාදය ඉවත් වේ. නමුත් එය අනතුරු ඇඟවීමක් වැසීමට පමණක් ලබා දීම අමුතු දෙයක් වන, එම පැතිකඩට ඔබේ යන්ත්‍රයේ ක්‍රියාත්මක කළ හැකි දේ ද පුළුල් කරයි. ආයාතය උපදෙස් දක්වා අනුගමනය කරන්න, තීරණය ස්පර්ශනීය වේ.
ආයාත සංවාදයේ සිට උපදෙස දක්වා
පැතිකඩ යනු උපදෙස් සහිත පෙළ ගොනුවකි, කිසිදු උමං මාර්ගයක් පවතින පෙර සේවාලාභියා ඒවා කියවයි. up, down හෝ tls-verify වැනි උපදෙසක් OpenVPN නිශ්චිත මොහොතක ක්‍රියාත්මක කළ යුතු බාහිර වැඩසටහනක් නම් කරයි. OpenVPN එය ක්‍රියාත්මක කිරීමට සූදානම්ද යන්න script-security නම් වෙනම සැකසුමකි, පැතිකඩ සාමාන්‍යයෙන් එය ද සකසයි.
එබැවින් අනතුරු ඇඟවීම ගුප්තකේතනය හෝ සහතික ගැන නොවේ. එය වින්‍යාස ගොනුවක් සේවාලාභියාගෙන් සත්කාරකයේ යමක් ක්‍රියාත්මක කරන ලෙස ඉල්ලීම සහ සේවාලාභියා එහි වර්තමාන අවසර මට්ටම එම ඉල්ලීමට ඉඩ දෙන්නේද යන්න පරීක්ෂා කිරීම ගැන ය.
මෙම අවස්ථාවේදී වෙනස් අසාර්ථකත්ව දෙකක් එකම ලෙස පෙනේ. සේවාලාභියා නොදෙන මට්ටමක් ඉල්ලන පැතිකඩක් ප්‍රතික්ෂේපයක් ඇති කරයි. සේවාලාභියා දෙන මට්ටමක් ඉල්ලන නමුත් ස්ක‍්‍රිප්ටය නොමැති පැතිකඩක් ඒ වෙනුවට ක්‍රියාත්මක කිරීමේදී අසාර්ථකත්වයක් ඇති කරයි, සහ ආධාරක තන්තු වල දෙකම මිශ්‍ර වේ. එකක් අවසර ප්‍රශ්නයක්, අනෙක ඇසුරුම් ප්‍රශ්නයක්.
සෑම මට්ටමක්ම සැබවින්ම විවෘත කරන දේ
මට්ටම 0 බාහිර වැඩසටහන් ඇමතුම් සම්පූර්ණයෙන් තහනම් කරයි, එය සහායකයකින් තොරව තමන්ගේම අතුරුමුහුණත වින්‍යාස කරන සේවාලාභියාට සංගත වන අතර මෙහෙයුම් පද්ධතිය අමතන අයට අසංගත වේ. මට්ටම 1, පෙරනිමි, අතුරුමුහුණත සහ මාර්ග වින්‍යාසයට අවශ්‍ය ගොඩනඟන ලද ක්‍රියාත්මක ගොනු අවසර දෙයි. කිසිදු මට්ටමක් පරිශීලකයා සපයා ඇති කිසිවක් ක්‍රියාත්මක නොකරයි.
| Level | What OpenVPN may execute | What it exposes |
|---|---|---|
| 0 | No external programs at all | Interface and route setup must not depend on helpers |
| 1 (default) | Built-in helpers such as ip, ifconfig, route or netsh | Privileged commands the platform already ships |
| 2 | Built-in helpers plus user-defined scripts | Whatever the named script does with the client's privileges |
| 3 | Everything above, plus passwords in environment variables | Credentials visible to child processes and their logs |
මට්ටම 2 සිත්ගන්නා සීමාවයි, මන්ද එය පරිශීලක-නිර්වචිත ස්ක‍්‍රිප්ට් අනුමත කරයි. එම අවස්ථාවේ සිට සේවාලාභියාගේ වරප්‍රසාද ඔබ කිසිදා නොකියවා ඇති කේතයකට අදාළ වේ, ඔබ තෝරා නොගත් මොහොතවල ඇමතෙන, සම්බන්ධතා විස්තර අඩංගු පරිසරයක ක්‍රියාත්මක වේ. මට්ටම 3 තවත් ඉදිරියට ගොස් පරිසර විචල්‍ය හරහා මුරපද යැවීමට ඉඩ දෙයි, එබැවින් අත්පොත එය සම්භාව්‍ය ලෙස අනාරක්ෂිත ලෙස විස්තර කරයි.
මෙම සංඛ්‍යාවලින් කිසිවක් ශක්ති සැකසුමක් නොවේ. මට්ටම 3 හි පැතිකඩකට මට්ටම 1 ට වඩා හොඳ සංකේතනයක් නැත; එයට සරලව විශාල ක්‍රියාත්මක කිරීමේ තලයක් ඇත, උමං මාර්ගය සමාන ය.
පැතිකඩ උරුම විය යුතු දේ තීරණය කරන්න
ස්ක‍්‍රිප්ටයට කුමන මට්ටමක් අවශ්‍යදැයි ඇසීමට පෙර එය කුමක් සඳහාදැයි අසන්න. DNS සැකසුම් තල්ලු කරන හෝ සම්බන්ධ වීමෙන් පසු මාර්ගයක් අලුත්වැඩියා කරන කොක්කක් යමක් ක්‍රියාත්මක කිරීමට ව්‍යවහාරික හේතුවකි. තාවකාලික ෆෝල්ඩරයක නාඳුනන ද්විමය ගොනුවක් අමතන කොක්කක් නැවතීමට හේතුවකි.
ස්ක‍්‍රිප්ටයේ මාර්ගය ස්ක‍්‍රිප්ටය තරම්ම වැදගත් ය. සාපේක්ෂ මාර්ගය සේවාලාභියා භාවිතා කරන ෆෝල්ඩරයට සාපේක්ෂව විසඳනු ලැබේ, ලිවිය හැකි ෆෝල්ඩරයක් එක් වරක් සිදු කරන ආයාතයක් ස්ථිර ක්‍රියාත්මක කිරීමේ ස්ථානයක් බවට පත් කරයි. පරිශීලකයාට වෙනස් කළ නොහැකි ෆෝල්ඩරයක නිරපේක්ෂ මාර්ග වඩාත් කැමති ස්වරූපයයි.
ස්ක‍්‍රිප්ට් සේවාලාභියාගේ පරිසරය ද උරුම කර ගනී, එහි අක්තපත්‍ර සහ සම්බන්ධතා පාර-දත්ත ජීවත් වේ. එම උරුමය නිසාම මට්ටම 3 තම පරිසරය ලොග් කරන ස්ක‍්‍රිප්ටයක් සමඟ අනතුරුදායක වේ, එබැවින් ස්ක‍්‍රිප්ට් සක්‍රීය කළ සේවාලාභියෙකුගේ රෝග විනිශ්චය උපුටා ගැනීමක් ටිකට්ටුවක අලවන්නට පෙර දෙවන බැල්මකට සුදුසු ය. බෙදාගැනීමට පෙර පරිසරය ඉවත් කරන්න.
grep -nE 'script-security|^up |^down |tls-verify' client.ovpnඑක දෙයක් වෙනස් කරන්න, පසුව ගැලවීම ද නරඹන්න
පැතිකඩට සැබවින්ම ස්ක‍්‍රිප්ටයක් අවශ්‍ය නම්, මට්ටම පමණක් සහ එම පැතිකඩට පමණක් වෙනස් කරන්න. සේවා කළමනාකරු ඒවා ගිල නොගැනීම සඳහා ස්ක‍්‍රිප්ටයේම දෝෂ පෙනෙන ලෙස සේවාලාභියා ඉදිරිපස විස්තරාත්මක ප්‍රතිදාන සමඟ ධාවනය කරන්න.
openvpn --config client.ovpn --script-security 2 --verb 3
ip route show defaultසම්බන්ධ වීම පමණක් නොව, සම්පූර්ණ ජීවන චක්‍රය පරීක්ෂා කරන්න. අසාර්ථක වන වසා දැමීමේ කොක්කක් මාර්ග මළ උමං මාර්ගයක් දෙසට තබයි, එය සම්බන්ධ ලෙස පෙනෙන නමුත් කොතැනකවත් නොපැමිණෙන යන්ත්‍රයක් ඇති කරයි. වෙනස සම්පූර්ණ යැයි ප්‍රකාශ කිරීමට පෙර එක් වරක් නැවත සම්බන්ධ වී එක් වරක් විසන්ධි කරන්න, සහ එක් එක් පසු මාර්ගගත කිරීමේ වගුව පරීක්ෂා කරන්න.
මුල් පැතිකඩේ පිටපතක් තබා ගන්න. වේදිකා සේවාලාභියෙකු එම ස්ක‍්‍රිප්ට් ආකෘතිය ක්‍රියාත්මක නොකරන්නේ නම්, ආයාතය සාර්ථක වන තෙක් උපදෙස් මකා දැමීම උමං මාර්ගයට අවශ්‍ය වූ DNS හෝ මාර්ග ඒකාබද්ධතාව ඉවත් කළ හැක, ප්‍රතිඵලයක් ලෙස ඇතිවන සම්බන්ධතාවය නිකැළැල් ලෙස සත්‍යාපනය වන නමුත් කිසිවක් විසඳන්නේ නැත.
සටහන් කළ යුතු තීරණය පටු ය: කුමන ස්ක‍්‍රිප්ටය, කුමන මාර්ගයේ, කුමන මට්ටමේ අවසර දුන්නේ, කුමන පැතිකඩ සඳහා. පැතිකඩේ අනෙක් සියල්ල වෙනස් නොවී පවතී, මෙය සමාලෝචකයෙකුට පරීක්ෂා කළ හැකි වාක්‍යයකි.