Çfarë mund të ndryshojë një profil VPN i dorëzuar në pajisjen tuaj

T'i dorëzosh klientit tënd një profil VPN do të thotë t'i dorëzosh një konfigurim të shkruar nga dikush tjetër, të cilin ai program e ekzekuton më pas në makinën tënde. Importimi i tij mund të ndryshojë ku shkon trafiku i mbuluar, cilit palë i beson pajisja jote dhe në disa formate cilat programe lokale nisen kur tuneli ngrihet. Skedari nuk është një faqeshënues; është një program i vogël në një format deklarativ.

Lexoje ashtu siç do të lexoje një skript shell nga i njëjti burim.

E interpreton klienti, jo ti

Çdo fushë në skedar është një udhëzim për një klient të caktuar. Pika fundore dhe protokolli vendosin ku shkon tuneli, blloku i vërtetimit vendos çfarë sekreti kërkohet dhe direktivat e rrugës vendosin çfarë hyn në të. Certifikatat ose një çelës privat mund të jenë të ngulitura si blloqe në vend që të referohen si skedarë, dhe për këtë arsye një skedar i vetëm teksti ndonjëherë mbart gjithçka që nevojitet për t'u hequr si ti përpara një porte. Pikërisht kjo veti e bën shpërndarjen e rastësishme të skedarëve kaq të rrezikshme.

Profilet OpenVPN mund të mbartin gjithashtu grepa skripti, shtigje shtojcash dhe një nivel sigurie që përcakton nëse ato grepa mund të ekzekutohen. Pikërisht ky kombinim e bën një profil të panjohur të denjë për t'u lexuar rresht për rresht në vend të një klikimi të dyfishtë. Klienti do të bëjë saktësisht atë që thotë skedari, dhe do ta bëjë me privilegjet e tua.

Ndryshimet e rrugëtimit duken pas një lidhjeje

Një profil tuneli të plotë instalon rrugë që dërgojnë gjithçka përmes portës, ndërsa një profil tuneli të ndarë dërgon vetëm parashtesat e zgjedhura. Disa profile shtyjnë edhe një server DNS, gjë që ndryshon në heshtje kush i sheh pyetjet e tua. Asnjë prej këtyre nuk është keqdashës në vetvete, dhe asnjë prej këtyre nuk është i dukshëm nga emri i skedarit.

Krahaso tabelën e rrugëtimit përpara dhe pas lidhjes së parë dhe do ta shohësh qëllimin me një vështrim. Një profil i reklamuar si akses në një aplikacion të brendshëm, por që instalon një rrugë parazgjedhje më të gjerë, po të thotë diçka për autorin e tij.

Pesha e vërtetë mbartet nga materiali i besimit dhe grepat

Një profil mund t'i japë klientit VPN informacion besimi, dhe një paketë konfigurimi platforme mund të shkojë më tej dhe të instalojë një certifikatë ose një rrënjë në një depo sistemi. Këto janë fusha të ndryshme me pasoja të ndryshme. Rasti në fushën e klientit ndikon në vërtetimin e një aplikacioni; rasti në nivel sistemi ndikon në gjithçka që përdor depon e besimit të platformës.

Grepat e skriptit dhe shtojcat janë gjysma tjetër. Një direktivë që ekzekuton një komandë në lidhje, ose një shtojcë e ngarkuar në procesin e klientit, ka privilegjet e tua dhe asgjë nga izolimi i klientit. Nëse një profil që nuk e kërkove përmban një të tillë, kjo është një pyetje për personin që e dërgoi.

Asnjëra nga dy kategoritë nuk është automatikisht armiqësore. Vendosjet korporative i përdorin të dyja. Çështja është se secila kërkon një shpjegim që mund ta verifikosh.

Verifiko origjinën, pastaj jep sekretin

Përcakto kush e lëshoi skedarin përmes një kanali që tashmë i beson, jo përmes mesazhit që e dorëzoi. Krahaso detajet e pikës fundore dhe të certifikatës me dokumentacionin e publikuar nga operatori. Nëse një profil erdhi pa u kërkuar, merr një të ri drejtpërdrejt nga operatori në vend që të riparosh kopjen që të dhanë. Pyet cilën version klienti mbështet operatori, sepse i njëjti skedar mund të interpretohet ndryshe nga një klient tjetër.

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

Mos vendos kurrë një fjalëkalim në një fushë të pashpjeguar për të parë nëse funksionon, dhe mos prano kurrë një kërkesë privilegji të panjohur vetëm për të përfunduar një importim. Një lidhje e suksesshme vërteton se pika fundore u përgjigj, asgjë më shumë.

Hiq kopjen e importuar, jo shkarkimin

Klientët kopjojnë profilin në depon e tyre, ndaj fshirja e skedarit të shkarkuar e lë lidhjen e importuar aktive. Hiqe përmes ndërfaqes së vetë klientit dhe kontrollo nëse ka ikur edhe çdo certifikatë e shtuar gjatë importimit. Pastaj konfirmo se kanë ikur edhe rrugët që instaloi.

Nëse një certifikatë u instalua në nivel sistemi, heqja e profilit nuk mjafton. Ai pastrim i përket menaxhimit të besimit të platformës dhe ia vlen të bëhet me qëllim në vend që të shpresosh se do ta rregullojë rindezja e radhës.