Skedari juaj .ovpn mund të ekzekutojë kod, jo vetëm të drejtojë trafikun

Shumica e njerëzve lexojnë një skedar .ovpn ashtu si lexojnë faqen e cilësimeve të një ruteri: adresa, rrugë, një listë shifrash. Pjesa që ekzekuton kod ndodhet afër fundit, pranë direktivave që duken si punë hidraulike, dhe funksionon me çdo privilegj që klienti tashmë ka. Kjo është e çara që shfrytëzon një profil i pakujdesshëm ose keqdashës, dhe është gjithashtu e çara që e kthen një ndihmës DNS të dobishëm në një problem mbështetjeje tre javë më vonë. Direktiva e ngjarjes, niveli i sigurisë dhe pronësia e skedarit vendosin çfarë mund të ndodhë; përmbajtja e skriptit vendos çfarë ndodh në të vërtetë. Lexoni të katërta para se të lidheni.

Një profil që ekzekuton një ndihmës është program, jo skedar cilësimesh

Direktivat si route dhe dhcp-option përshkruajnë gjendjen që klienti duhet të vendosë, dhe klienti i trajton ato si të dhëna. Një skript up është ndryshe: klienti e nis si proces dhe i jep një mjedis plot me detaje lidhjeje, kështu që gjithçka që shkroi autori i tij funksionon me të drejtat e llogarisë tuaj. Në një laptop ku përdoruesi është administrator, kjo është një derë e gjerë për një skedar që erdhi si bashkëngjitje ose i ngjitur nga një temë forumi. Dallimi nuk është stilistik, është dallimi midis konfigurimit dhe kodit.

Miti që ia vlen të hiqet është se një profil mund të ridrejtojë vetëm trafikun. Një ndihmës që ekzekuton ip route add dhe një që ekzekuton curl kundër një hosti të largët janë i njëjti mekanizëm, dhe profili duket identik nga jashtë. Asgjë në pamjen e skedarit nuk ju thotë cilën keni, prandaj rishikimi duhet të arrijë deri në vetë skriptin.

Çfarë e vendos vërtet ekzekutimin dhe si duken rreshtat që e lejojnë

Tre gjëra kontrollojnë një ndihmës: direktiva e ngjarjes që e emërton, niveli script-security që e lejon dhe zbatimi i vetë platformës së klientit. Një profil mund të kërkojë një grep dhe prapë të mos shohë asgjë të ndodhë, sepse një klient celular ose një ndërtim desktop i reduktuar mund të mos e zbatojë fare atë ngjarje. Po ashtu, një profil që kërkon më shumë leje sesa i nevojitet funksionit të tij ju thotë diçka për origjinën e tij. Një nivel lejeje është aftësi, jo miratim. Rreshtat që e lejojnë duken kështu, me një shteg që zë vendin e tuajit.

script-security 2
up /etc/openvpn/update-resolv-conf.sh
down /etc/openvpn/update-resolv-conf.sh

Niveli 0 refuzon programet e jashtme dhe niveli 1, parazgjedhja, lejon vetëm skedarët ekzekutues të integruar të klientit, kështu që një grep kërkon 2 ose më të lartë; niveli 3 ekziston kryesisht për kalimin e fjalëkalimeve të vjetra dhe është më mirë të shmanget. Një profil i dërguar me një grep kërkon edhe direktivën edhe atë nivel, prandaj një rresht afër fundit të skedarit meriton të njëjtin shqyrtim si blloku i certifikatës. Manualin e OpenVPN rendit nivelet e lejes, dhe formulimi i tij ia vlen të lexohet pranë asaj që kërkon vërtet profili.

Pronësi, shteg dhe me çfarë ushqehet ndihmësi

Një profil të cilit i besoni, por që tregon një skript që një llogari tjetër mund ta rishkruajë, nuk është marrëveshje e besueshme, sepse rishikimi i djeshëm nuk përshkruan më atë që punon sot. Kontrolloni pronarin dhe mënyrën e ndihmësit dhe kontrolloni që shtegu i konfiguruar të çon në skedarin që inspektuat dhe jo në një emër që diçka tjetër mund ta hijeshojë. Argumentet dhe mjedisi meritojnë të njëjtin vështrim: klienti i kalon detajet e lidhjes grep-it, dhe një ndihmës që regjistron gjithë mjedisin e tij mund të jetë duke shkruar kredenciale në një biletë mbështetjeje. Preferoni një integrim të dokumentuar nga operatori ose platforma sesa një skript DNS të kopjuar nga një postim i palidhur, sepse dy menaxherë zgjidhësish që grindën për të njëjtin skedar prodhojnë një dështim që duket si VPN i prishur.

Kur raportoni një grep që dështon, redaktoni mjedisin përpara se ta ngjitni kudo. Shkarkimi që ju ndihmon të korrigjoni gabime mund të mbajë gjithashtu shenjën që ju vërteton.

Dështimet e pastrimit shfaqen pasi tuneli është larguar

Një ndihmës up shton rrugë dhe cilësime zgjidhësi, dhe ndihmësi down duhet t'i heqë ato përsëri. Kur grep-i down mungon, dështon në heshtje ose nuk ekzekutohet kurrë sepse klienti u vra, mbetjet mbijetojnë sesionin. Trafiku atëherë merr një rrugë që askush nuk e planifikoi dhe emrat zgjidhen përmes një zgjidhësi që duhej të ishte hequr, ndërsa vetë tuneli duket i shëndetshëm. Këto simptoma vijnë pas shkëputjes, prandaj fajësohet rrjeti dhe jo profili.

Testoni çmontimin si një hap më vete: ngrini tunelin, shënoni rrugët dhe zgjidhësin, uleni, pastaj konfirmoni se të dy janë larguar. Një profil që lidhet pastër mund të lërë prapa gjendje, dhe kodi i daljes zero i ndihmësit nuk provon që zgjidhësi përfundoi atje ku mendoni.

Rishikimi i ndihmësit dhe mbajtja e një rruge daljeje

Lexoni skriptin nga fillimi në fund duke kërkuar tre gjëra: komanda që kërkojnë privilegj, shtigje të koduara fort që mund të mos ekzistojnë në sistemin tuaj, dhe çdo thirrje rrjeti që bën. Pastaj shihni si dështon, sepse një ndihmës që gëlltit gabimet e kthen një gabim konfigurimi në mister. Nëse nuk mund të thoni në një fjali çfarë bën skripti dhe kush mund ta ndryshojë, nuk jeni gati ta aktivizoni. Një profil që kërkon më shumë privilegj sesa kërkon ajo fjali është sinjali për të ndaluar.

Ruani profilin e fundit që funksiononte dhe ndihmësin të cilin ai referonte në ruajtje të mbrojtur, me të dy versionet e shënuara, që një kthim pas të jetë kopje dhe jo rindërtim në momentin më të keq të mundshëm. Nëse ndihmësi ekziston vetëm për një shpërndarje ose version klienti që nuk ka më nevojë për të, tërhiqeni atë në konfigurimin që zotëron cilësimin në vend që të ngrini privilegjet derisa gabimet të ndalen. Kjo është rruga e daljes: më pak pjesë lëvizëse, jo më shumë leje.