Jinsi ya kuthibitisha seva ya wasifu wa OpenVPN kabla ya kuuingiza

Mtu anakutumia wasifu, unauingiza, na sekunde thelathini baadaye mteja anapiga mahali ambapo hakuna aliyekagua. Kwanza soma faili katika kihariri cha maandishi, kwa sababu kila kitu cha muhimu kiko katika maagizo machache: remote, proto, port, ca, cert, tls-crypt na verify-x509-name. Kila kitu kingine ni thamani chaguo-msingi, na hapo ndipo mshangao unaishi.

Orodhesha kila kituo cha mwisho ambacho faili inaweza kutumia

Anza na vituo vya mwisho, kwa sababu wasifu mmoja unaweza kuwa na kadhaa. grep -nE '^[[:space:]]*(remote|proto|port|remote-random|connection)' profile.ovpn huchapisha kila mtarajiwa kwa mpangilio wa faili, ikiwa ni pamoja na wale walio ndani ya vitalu <connection> vya ndani.

Maagizo yanapoacha bandari, mteja hurudi kwenye chaguo-msingi la msikilizaji, kwa hiyo remote vpn.example.com peke yake humaanisha bandari 1194 na proto yoyote itakayotokea baadaye kwenye faili. Mistari kadhaa rahisi ya remote ni njia mbadala: mteja huijaribu kwa mpangilio isipokuwa remote-random iizichanganye, na kamwe haibadilishi kimyakimya mwenyeji wa mwendeshaji mwingine. Mistari miwili ya remote kwenye vikoa visivyohusiana ni mahali unaposimama na kuuliza ni ipi iliyokusudiwa.

Angalia pia tahajia ya proto. tcp inakubaliwa kama kisawe cha tcp-client upande wa mteja, lakini tcp-server katika wasifu wa mteja ni hitilafu ya usanidi ambayo huelekea kuning'inia badala ya kushindwa kwa usafi.

Thibitisha jina, kisha bandari

dig +short vpn.example.com inakuambia ikiwa jina lipo na ni anwani gani inarudisha, na kituo cha mwisho chenye anwani nyingi au nyuma ya proksi kinaweza kurudisha kadhaa kihalali. Utatuzi wa jina ni sharti, sio ushahidi wa umiliki; mtu yeyote anaweza kuelekeza jina kwenye anwani, na anwani moja inaweza kujibu majina mengi.

Kisha kagua msikilizaji kwenye bandari uliyoipata, kwa kuzingatia usafirishaji. Kupitia TCP, openssl s_client -connect vpn.example.com:1194 -servername vpn.example.com huchapisha mnyororo ambao seva inauwasilisha. Kupitia UDP unahitaji DTLS: openssl s_client -dtls1_2 -connect vpn.example.com:1194 hufanya salamu hiyo hiyo kupitia datagramu. Salamu iliyokamilika huthibitisha kwamba kitu kinasikiliza na kinashikilia cheti, ambayo ni zaidi ya ping inavyoonyesha na chini ya kile mipangilio ya uaminifu ya wasifu yenyewe inavyodai.

Salamu inaposhindwa na mwenyeji anajibu ping, bandari inaweza kuwa mbaya au imechujwa. Ichukulie kama sababu ya kuomba bandari sahihi, sio mwaliko wa kufagia zile za karibu. nc -vzu pia huripoti mafanikio kwenye rafu zingine bila kitu kusikiliza, kwa hiyo uchunguzi tupu wa UDP haumaanishi chochote bila salamu nyuma yake.

Soma pini za uaminifu kando na anwani

Anwani huamua mteja anakoenda; kizuizi cha uaminifu huamua anayemwamini anapofika. verify-x509-name "vpn.example.com" name hubandika jina la kawaida la somo, na remote-cert-tls server hutaka matumizi yaliyopanuliwa ya ufunguo kwa uthibitishaji wa seva. Wasifu unaotolewa na mwendeshaji unapaswa kubeba vyote viwili.

Tafuta ca, kizuizi <ca> cha ndani, na ama tls-crypt au tls-auth. Wasifu unaotumia tls-auth unahitaji key-direction 1 kwa mteja wakati upande wa seva unatumia mwelekeo 0, na kutokulingana hushindwa salamu kwa hitilafu ya TLS inayosomwa kama kasoro ya cheti. CA ya ndani isiyo ya mwendeshaji ambaye umetatua jina lake sasa hivi inamaanisha faili iliundwa kutoka vyanzo viwili, na hiyo ndiyo kesi inayostahili kukataliwa kabisa.

verify-x509-name hukubali hali za name, name-prefix au subject, na ya mwisho inatarajia jina kamili la kutofautisha kwa mpangilio kamili ambao seva huichapisha. Chagua hali inayolingana na umbo la thamani, kwa sababu mteja hukataa kila muunganisho badala ya kuonya kuhusu kukaribia. Kwa faili ambayo hukuiandika, name na jina rahisi la mwenyeji ndiyo chaguo lisilostaajabisha zaidi.

Kagua chaguo zinazoshindwa kimyakimya

OpenVPN 2.6 hujadiliana kuhusu misimbazi kupitia data-ciphers, na wasifu ulio na mstari wa zamani wa cipher AES-256-CBC pekee unaweza kukamilisha kituo cha udhibiti kisha kukwama kwenye data. Kusoma thamani hiyo hukuambia ikiwa faili ni ya zamani kuliko seva unayojiunga nayo; ukurasa wa mwongozo wa 2.6 huorodhesha mpangilio wa majadiliano ikiwa unahitaji kuinukuu kwa mwendeshaji.

auth-user-pass bila jina la faili inamaanisha mteja atauliza, kwa hiyo wasifu unaoonekana wenye kujitosheleza bado unahitaji vitambulisho. auth-user-pass credentials.txt inamaanisha inatarajia faili ambayo huenda haikutumwa kwako. nobind na resolv-retry infinite ni za kawaida na zisizo na madhara, wakati explicit-exit-notify ni za UDP pekee na hazina maana kupitia TCP.

Hakuna kati ya hivi hubadilisha mteja anakojiunga, lakini kila kimoja hubadilisha ikiwa ataunganishwa kabisa, na hakuna kinachoonekana kwenye mazungumzo ya uingizaji ya mteja.

Amua, kisha andika ulichoamua

Baada ya usomaji huu kuna matokeo matatu, na moja tu ni uingizaji. Wakati kituo cha mwisho na pini zinalingana na maagizo uliyopata kupitia njia tofauti, uingize. Wakati kituo cha mwisho kinaonekana sawa lakini pini au CA hazilingani, omba faili iliyosahihishwa. Wakati faili inachanganya vituo vya mwisho au nyenzo za CA kutoka vyanzo tofauti, ifute na uombe nakala mpya.

Andika hashi uliyokagua, ili mtu anayefuata ajue ikiwa faili ilibadilika: sha256sum profile.ovpn, iliyobandikwa kando ya kituo cha mwisho kwenye madokezo yako. Wasifu ni mpangilio mzima, sio orodha ya anwani, kwa hiyo kamwe usiingize remote inayofanya kazi kwenye kizuizi cha uaminifu cha mtu mwingine huku ukihifadhi vitambulisho vyao.

Weka funguo za faragha na manenosiri mbali na picha za skrini na nyuzi za mazungumzo unapolinganisha madokezo. Kituo cha mwisho na chaguo zisizo za siri zinatosha kuuliza swali sahihi, na vingine vina mahali pao kwenye faili.

Ikiwa utaiingiza na jaribio la kwanza likishindwa, endesha mteja na --verb 3 na usome mistari kumi ya kwanza: anwani ya remote iliyotatuliwa, proto iliyojadiliwa na hitilafu ya TLS huonekana kwa mpangilio huo, ambayo hukuambia ni ukaguzi upi kati ya haya juu ulioruka.