Maxaa OpenVPN u joojiyay isku xirka ka dib casriyeyn Ubuntu?

Borofaylada VPN ee usbuucii hore shaqeynayay way jabaan ka dib casriyeyn daabacaad Ubuntu, rukhsaduhuna marar dhif ah ayay casriyeynta xusaan. Waxa uu magacaabo waa lakabka fashilmay: gacan-qaadista TLS, sireedka loo gorgortamay kanaalka xogta, xirmada la rakibay, ama nuqulka OpenSSL ee barnaamijku soo rarto marka uu bilaabmo. Lakab kastaa wuxuu leeyahay qaab khalad iyo hagaajin u gaar ah, taas oo kala-saarista ka dhigta shaqada koowaad iyo tafatirka tan labaad. U qaado borofaylka mid aan waxba galabsan ilaa rukhsaduhu magacaabo.

Lakabkee fashilmay: gacan-qaadis, sireed, xirmo mise maktabad

Akhri rukhsadaha macmiilka ka hor intaadan taaban borofaylka. khaladka ugu horreeya ee soo-saarka waa kan tilmaamaya lakabka; wax kasta oo ka dib la daabaco badanaa waa natiijada fashilkaas koowaad. Marka macmiilku gebi ahaanba bilaabmin, rukhsadaha VPN waa faylka khaldan ee la furo.

Cabashooyinka shahaadooyinka iyo saxeexyada, ama fariinta ku saabsan dhererka fure, waxay ka yimaadaan kanaalka xakamaynta iyo siyaasadda maktabadda ee maamusha. Laakiin digniinta ku bilaabata DEPRECATED OPTION waxay ka tirsan tahay gorgortanka kanaalka xogta.

Sadar sidan oo kale Unrecognized option waa qaybta saddexaad: barnaamijka cusub mar dambe ma aqbalo tilmaan uu kii hore u adkaysanayay, sidaas darteed borofaylka waa in dib loo qoraa ee ma aha in maktabadda la dabacsado. Fashilka xirmooyinka ayaa mar kale u muuqda si ka duwan sababtoo ah waxay dhacaan ka hor inta aan koodka tunnellada shaqeyn. Barnaamij maqan, plugin aan soo raran, ama keyd u tilmaamaya magac kood khaldan dhamaantood waxay bixiyaan qaabkaas. Afar calaamadood, afar meelood oo la eego, iyo ku dhowaad wax is-dulsaar ah oo u dhexeeya hagaajinta.

Marka gacan-qaadistu fashilanto, siyaasadda TLS waxay diiddaa shahaadada

Ubuntu 22.04 waxay nidaamka u rartay OpenSSL 3, heerka amniga caadiga ah ee laantaasna wuu ka adag yahay saxeexyada shahaadooyinka iyo cabbirka furayaasha marka loo eego 20.04. Shahaadada CA ee lagu saxeexay digest duug ah, ama fure ka hooseeya marinka hadda, hadda way fashilmaan inta lagu jiro gacan-qaadista. Maadaama aan waxba la xaqiijin, khaladku wuxuu u akhriyaa sida password khaldan ama server dhintay.

Hagaajinta cidhiidhiga ah waxay ku xirtaa xarig sireed oo kaliya isku xirkan. Tafatiraha desktop-ka, fur borofaylka, u gudub dejinta horumarsan, oo dhig DEFAULT:@SECLEVEL=0 goobta sireedka TLS. Faylka fure ee NetworkManager wuxuu qaataa isla qiimaha hoosta [vpn]:

[vpn]
tls-cipher=DEFAULT:@SECLEVEL=0

Dib u bilow NetworkManager oo dib u xiriir, sababtoo ah daemon-ku wuxuu kaydiyaa borofaylada la falanqeeyay oo haddii kale wuxuu sii wadi doonaa isticmaalka nuqulka uu hore u hayo. Ogaado waxa sadarku qabanayo ka hor intaadan hayn: dejintaas waa marin ka gudubta dhowr halbeeg oo shahaado iyo fure ah, ma aha magac sireed, sidaas darteed hoos u dhigistiisu waxay ballaarisaa waxa borofaylka kaliya aqbalo. Qor serverkee ku qasbay oo ka tag dejinta marka hawlwadeenku dib u soo saaro waxyaabaha hadda jira. Beddelka /etc/ssl/openssl.cnf wuxuu gaaraa isla marinka barnaamij kasta oo faylkaas akhriya, taas oo aad uga fog VPN.

OpenVPN 2.6 wuxuu u baahan yahay sireedka liiska gorgortanka

Ubuntu 22.10 waxay keentay OpenVPN 2.6, daabacaaddaasna --cipher wuu joojiyaa inuu isagu doorto kanaalka xogta. Sireedku waa inuu sidoo kale ku jiraa liiska data-ciphers ee la gorgortamay, haddii kale macmiilku wuxuu daabacaa digniin duug ah kadibna wuu ku guuldareystaa inuu kor u qaado tunnelka.

Plugin-ka NetworkManager ee isla waqtigaas weli wuxuu qorayay oo kaliya tilmaantii hore. Faahfaahintan waxay kala qaybisaa ogaanshaha, sababtoo ah borofayl gacan lagu saxay ayaa ka xiriiri kara shell laakiin weli ka fashilmi kara applet-ka desktop-ka. Ku dar liiska faylka isku xirka hoosta [vpn]:

data-ciphers=AES-256-CBC

Isticmaal qiimaha serverku ku dhawaaqo, ma aha kan aad xasuusato; server bixiya AES-256-GCM lama gorgortamo liis macmiil oo kaliya sheegta CBC. Dib u bilow maareeyaha oo dib u xiriir, kadib ku celi isku dayga shell adigoo sireedka si cad ugu gudbinaya gorgortanka iyo beddelka labadaba:

sudo openvpn --config client.ovpn --data-ciphers AES-256-CBC --data-ciphers-fallback AES-256-CBC

Haddii amarkaas uu kor u qaado tunnelka, serverka, shahaadooyinka iyo aqoonsiga dhamaantood waa caafimaad qabaan, cillada kaliya ee hadhayna waa ikhtiyaarka kaydsan ee maareeyaha. Digniinta ku saabsan tilmaanta keysize waxay ka tirsan tahay isla nadiifinta: faallo ka dhig oo faylka asalka ah dhinaca borofaylka dhig.

Cilladaha xirmada iyo plugin-ka waxay u eg yihiin cilladaha VPN

Ma aha fashil kasta oo casriyeyn ka dib mid sir ah. Keyd OpenVPN lagu daray magac kood oo daabacaaddu isticmaalin waxay soo saartaa xirmo aan waligeed la rakibin, sidaas darteed isbarbardhig waxa lsb_release -a soo sheegto iyo faylka liiska aad ku dartay. Qayb universe maqan ama jeeb amni ayaa soo saarta xirmo aan gebi ahaanba la helin. Labada xaaladoodba waxay ka tagaan borofaylka aan taaban iyo tunnelka aan macquul ahayn.

Akhri khaladka maareeyaha xirmooyinka ka hor rukhsadaha VPN. Haddii macmiilku waligiis la rakibin, tiro kasta oo tafatir borofayl ah ma soo saari doonto gacan-qaadis.

Borofaylada laba-qodob leh ee joojiya weydiinta waa nuqulka plugin-ka ee sheekadaas. Caqabaddu waxay ka timaaddaa plugin xaqiijin, casriyeynta ka tagay ama beddelayna waxay ka tagtaa borofaylka mid buuxa inta weydiintu libdhayo. Dib u rakib plugin-ka la taageeray halkii aad tirtiri lahayd qodobka labaad si isku xirku u shaqeeyo.

Maktabad iibiyaha ah waxay ku dhuuman kartaa khalad siyaasadeed

Hal qaab ayaa mudan aqoonsi sababtoo ah wuxuu ka adkaadaa hagaajin kasta oo siyaasad. Qalab habaynta iibiyaha qalabka ayaa rakibi kara maktabadihiisa OpenSSL oo ka hor dhigi kara nuqulada nidaamka wadada raadinta ee raraha. Macmiilku markaas wuxuu ku bilaabmaa maktabad qofna aan casriyeyn, fashilka bilowguna wuxuu u eg yahay si sax ah shahaado la diiday.

Dib u rakibidda xirmada VPN ma beddelo maktabadda marka hore la helo, hoos u dhigista heerka TLSna ma gaarto maktabad aan waligeed nidaamka ka imanin. Weydii raha waxyaabaha sir ah ee barnaamijku runtii xalliyo:

ldd /usr/sbin/openvpn | grep -i -E 'ssl|crypto'

Ka saar ama dib u jihee nuqulka iibiyaha, kadib mar kale socodsii isla hubintaas. Nuqulka la filayo waa inuu ahaadaa kan la isticmaalayo ka hor intaadan ku noqon borofaylka.

Daldalidda macmiil duug ah waxay iibsataa waqti, ma aha xal

Haynta nuqulka macmiilka hore waxay soo celisaa tunnelka inta hayntu socoto. Waxay sidoo kale qaboojisaa cusboonaysiinta amniga xirmadaas waxayna qorsheynaysaa isla jabcitaanka casriyeynta xigta, sidaas darteed u qaado xal ku meel gaar ah oo taariikh leh, ma aha xal.

Haddii aad si kastaba u daldasho, si cad u hay xirmada si casriyeyn aan la ilaalin uusan uga noqon karin daldalidda, qor sababta iyo taariikhda dib-u-eegista, oo dhig xusuusin daabacaadda borofaylka xigta ee bixiye. Xaaladda mudan in la ilaaliyo waa borofaylka serverka ee gorgortama sireed hadda jira; marka uu jiro, daldaliddu ma laha cudur-daarro dambe. Daldalid aan la diiwaangelin, taa beddelkeeda, waxay noqotaa carqalad aan cidna ku sharxi karin lix bilood ka dib, sababtoo ah qofkii hirgeliyay wuu tagay faylkuna waxba ma diiwaangasho.

Marka xigta ee VPN dhinto ka dib casriyeyn daabacaad, weydii shan su'aalood si isku xigta: lakabkee soo saaray khaladka koowaad, siyaasadda TLS ma diidday shahaadada, sireedka labada jiho ma lagu gorgortami karaa, xirmada iyo plugin-keedu runtii ma la rakibay, iyo maktabadee ay rarta habsocodku. Kaliya marka shanta oo dhan si nadiif ah u soo noqdaan ayay hoos u dhigista nuqulku macno samaynaysaa.