Sida loo hubiyo server-ka profile OpenVPN ka hor inta aan la soo dejin

Qof ayaa kuu soo diraa profile, waad soo dejisaa, soddon ilbiriqsi ka dibna macmiil wuxuu wacayaa meel aan cidna hubin. Marka hore akhri faylka tafatiraha qoraalka, sababtoo ah wax kasta oo muhiim ah waxay ku jiraan dhowr tilmaamo: remote, proto, port, ca, cert, tls-crypt iyo verify-x509-name. Inta kale waa qiimayaasha caadiga ah, oo yaababka ayaa halkaas ku nool.

Liis soo qor dhammaan barta dawga ah ee faylku isticmaali karo

Ka bilow barta dawga ah, sababtoo ah hal profile wuxuu yeelan karaa dhowr. grep -nE '^[[:space:]]*(remote|proto|port|remote-random|connection)' profile.ovpn wuxuu daabacaa metamid kasta sida ay faylku u kala horreeyaan, oo ay ku jiraan kuwa ku dhex jira baloogyada <connection> ee gudaha.

Marka tilmaamuhu ka tago dekedda, macmiilku wuxuu ku noqdaa qiimaha caadiga ah ee dhegeystaha, sidaas darteed remote vpn.example.com oo keliya waxay ka dhigan tahay dekedda 1194 iyo proto kasta oo faylka ka dambeeya. Dhowr khadad fudud oo remote ah waa beddelaadyo: macmiilku wuxuu isku dayaa si kala horreysan ilaa remote-random ay isku qasan yihiin, walna si aamusan ugama beddelo martigeliyaha hawlwadeen kale. Laba khadadka remote oo ku yaal domainno aan xiriir la lahayn waa goobta aad istaagto oo weydiiso midka loola jeedo.

Ogow sidoo kale qoraalka proto. tcp waxaa loo aqbalayaa isku macne ahaan tcp-client dhinaca macmiilka, laakiin tcp-server profile-ka macmiilka waa khalad habaynta oo u janjeera inuu hakado halkii uu si nadiif ah u guuldareysto.

Marka hore xaqiiji magaca, ka dib dekedda

dig +short vpn.example.com wuxuu kuu sheegaa haddii magacu jiro iyo cinwaannada uu soo celiyo, bartana dawga ah ee leh cinwaanno badan ama ka dambeeya wakiil waxay si sharci ah u soo celin kartaa dhowr. Xallinta magacu waa shuruud, ma aha caddayn lahaansho; qof kastaa wuxuu magac u jeedin karaa cinwaan, cinwaan keliya wuxuu ka jawaabi karaa magacyo badan.

Ka dib hubi dhegeystaha dekedda aad heshay, iyadoo la waafajinayo gaadiidka. TCP dushiisa openssl s_client -connect vpn.example.com:1194 -servername vpn.example.com wuxuu daabacaa silsiladda uu server-ku soo bandhigo. UDP dushiisa waxaad u baahan tahay DTLS: openssl s_client -dtls1_2 -connect vpn.example.com:1194 wuxuu isla gacan-qabsiga ku sameeyaa datagram-yada. Gacan-qabis dhamaystiran waxay caddaynaysaa in wax dhegeysanaya oo haysta shahaado, taas oo ka badan waxa ping tusayo oo ka yar waxa dejinta kalsoonida profile-ka laftiisu dalbado.

Marka gacan-qabsigu guuldareysto oo martigeliyuhu ka jawaabo ping, dekeddu waxay u badan tahay inay khaldan tahay ama la sifeeyay. U qaado sabab loo dalbado dekedda saxda ah, ma aha casuumaad lagu xaaqo kuwa u dhow. nc -vzu sidoo kale wuxuu soo sheegaa guul kuwa qaar ka mid ah isku-dhisyada iyadoo aan waxba dhegeysanayn, sidaas darteed baaritaan UDP oo qaawan waxba macne ma leh haddii gadaashiisa aanay gacan-qabis jirin.

Biinanka kalsoonida ka akhri cinwaanka si gooni ah

Cinwaanku wuxuu go'aamiyaa halka macmiilku tago; kooxda kalsoonidu waxay go'aamisaa qofka uu rumaysan doono marka uu yimaado. verify-x509-name "vpn.example.com" name wuxuu xiraa magaca guud ee mawduuca, remote-cert-tls server-na wuxuu dalbanayaa isticmaalka fureed ee la dheereeyay ee aqoonsiga server-ka. Profile-ka uu hawlwadeen ku siiyo waa inuu sidataa labadaba.

Raadi ca, baloog <ca> gudaha ah, iyo ama tls-crypt ama tls-auth. Profile-ka isticmaalaya tls-auth wuxuu u baahan yahay key-direction 1 macmiilka marka dhinaca server-ku isticmaalo jihada 0, ismaandhaafkaana wuxuu gacan-qabsiga ku guuldareystaa khalad TLS oo loo akhriyo sida cillad shahaado. CA gudaha ah oo aan ka tirsanayn hawlwadeenka aad hadda xalliso magaciisa waxay ka dhigan tahay in faylka laga soo ururiyay laba ilo, taasna waa kiiska istaahila diidmo cad.

verify-x509-name wuxuu qaataa hababka name, name-prefix ama subject, kan ugu dambeeyaana wuxuu filayaa magac kala duwan oo buuxa isla sida ay server-ku u daabacay. Dooro hab ku habboon qaabka qiimaha, sababtoo ah macmiilku wuxuu diidaa isku xir kasta halkii uu ka digi lahaa ku-dhowaansho. Fayl aanad qorin, name oo leh magac martigeliye fudud waa doorashada ugu yar ee yaab leh.

Hubi ikhtiyaarada si aamusan u guuldareysta

OpenVPN 2.6 wuxuu ka wada hadlaa sireedka data-ciphers, profile-ka haddana wata oo kaliya khad qadiim ah cipher AES-256-CBC wuxuu dhamayn karaa kanaalka xakamaynta ka dibna ku hakada xogta. Akhrinta qiimahaas waxay kuu sheegaysaa haddii faylku ka qadiimsan yahay server-ka aad ku biirayso; bogga buug-gacmeedka ee 2.6 wuxuu liisaa nidaamka wada-hadalka haddii aad u baahato inaad u soo xigato hawlwadeenka.

auth-user-pass oo aan magac fayl lahayn waxay ka dhigan tahay in macmiilku weydiin doono, sidaas darteed profile-ka u eg mid isku filan ayaa wali u baahan aqoonsi. auth-user-pass credentials.txt waxay ka dhigan tahay inuu filayo fayl laga yaabo inaan laguu soo dirin. nobind iyo resolv-retry infinite waa caadi oo aan waxyeello lahayn, halka explicit-exit-notify uu u gaar yahay UDP oo aan macne lahayn TCP dushiisa.

Midkoodna wax kama beddelo halka profile-ku ku xirmaan, laakiin mid kastaa wuxuu beddelaa haddii uu xirmaan ama kale, midkoodna lagama arko shirka soo-dejinta macmiilka.

Go'aan qaado, ka dib qor wixii aad go'aansatay

Akhriskan ka dib waxaa jira saddex natiijo, oo kaliya mid baa soo-dejin ah. Marka barta dawga ah iyo biinanku la jaanqaadaan tilmaamaha laga helay kanaal gooni ah, soo deji. Marka bartu u egtahay mid sax ah laakiin biinanku ama CA-ga aanay la jaanqaadin, weydiiso fayl la hagaajiyay. Marka faylku isku daro barta dawga ah ama waxyaabaha CA ee ilo kala duwan, tirtir oo weydiiso nuqul cusub.

Qor hash-ka aad dib u eegtay, si qofka xiga uu u ogaado haddii faylku isbeddelay: sha256sum profile.ovpn, oo ku dhejisan barta dawga ah ee qoraalladaada. Profile waa habayn dhamaystiran, ma aha liis cinwaanno, sidaas darteed waligaa ha ku xirin remote shaqaynaya kooxda kalsoonida qof kale adigoo haysta aqoonsigooda.

Furihii gaarka ahaa iyo furayaasha sirta ah ka fogee sawirrada shaashadda iyo dunta wada-hadalka inta aad isbarbar dhigayso qoraallada. Barta dawga ah iyo ikhtiyaarada aan sirta ahayn way ku filan yihiin su'aal sax ah, inta kalena faylka ayay ku taal.

Haddii aad soo dejiso oo isku dayga ugu horreeya guuldareysto, macmiilka ku socodsii --verb 3 oo akhri tobanka khad ee ugu horreeya: cinwaanka remote ee la xalliyay, proto la wada hadlay iyo khaladka TLS waxay u soo baxaan sidaas, taas oo kuu sheegaysa hubinta kasta oo kor ku qoran ee aad ka boodday.