OpenVPN சுயவிவரத்தின் சேவையகத்தை இறக்குமதி செய்வதற்கு முன் எப்படி சரிபார்ப்பது

யாரோ உங்களுக்கு ஒரு சுயவிவரத்தை அனுப்புகிறார்கள், நீங்கள் அதை இறக்குமதி செய்கிறீர்கள், முப்பது வினாடிகளுக்குப் பிறகு யாரும் சரிபார்க்காத இலக்கை ஒரு கிளையண்ட் அழைக்கிறது. முதலில் கோப்பை உரை திருத்தியில் படியுங்கள், ஏனெனில் முக்கியமான எல்லாம் சில கட்டளைகளில் அடங்கியுள்ளது: remote, proto, port, ca, cert, tls-crypt மற்றும் verify-x509-name. மற்ற எல்லாம் இயல்புநிலை மதிப்புகள், ஆச்சரியங்கள் அங்கேயே வாழ்கின்றன.

கோப்பு பயன்படுத்தக்கூடிய ஒவ்வொரு இறுதி முனையையும் பட்டியலிடுங்கள்

இறுதி முனைகளில் தொடங்குங்கள், ஏனெனில் ஒரு சுயவிவரத்தில் பல இருக்கலாம். grep -nE '^[[:space:]]*(remote|proto|port|remote-random|connection)' profile.ovpn ஒவ்வொரு வேட்பாளரையும் கோப்பு வரிசையில் அச்சிடுகிறது, உள்ளமைந்த <connection> தொகுதிகளுக்குள் உள்ளவை உட்பட.

ஒரு கட்டளை துறைமுகத்தை விட்டுவிட்டால், கிளையண்ட் கேட்பவரின் இயல்புநிலைக்குத் திரும்புகிறது, எனவே remote vpn.example.com மட்டும் துறைமுகம் 1194 என்று பொருள், கோப்பில் பின்னர் எந்த proto வந்தாலும். பல எளிய remote வரிகள் மாற்றுகள்: remote-random அவற்றைக் கலக்காவிட்டால் கிளையண்ட் அவற்றை வரிசையாக முயற்சிக்கிறது, மேலும் வேறு இயக்குபவரின் புரவலனை ஒருபோதும் அமைதியாக மாற்றாது. தொடர்பில்லாத களங்களில் இரண்டு remote வரிகள் எது நோக்கப்பட்டது என்று நிறுத்திக் கேட்கும் இடம்.

proto இன் எழுத்துப்பிழையையும் கவனியுங்கள். tcp கிளையண்ட் பக்க tcp-client இன் ஒத்த சொல்லாக ஏற்கப்படுகிறது, ஆனால் கிளையண்ட் சுயவிவரத்தில் tcp-server என்பது தூய்மையாகத் தோல்வியடைவதை விடத் தொங்கும் போக்குடைய கட்டமைப்புப் பிழை.

முதலில் பெயர், பின்னர் துறைமுகம்

dig +short vpn.example.com பெயர் உள்ளதா மற்றும் எந்த முகவரிகளைத் திருப்பித் தருகிறது என்று சொல்கிறது, பல முகவரி அல்லது ப்ராக்ஸிக்குப் பின்னால் உள்ள இறுதி முனை சட்டப்பூர்வமாகப் பலவற்றைத் திருப்பித் தரலாம். பெயர் தீர்வு ஒரு முன்நிபந்தனை, உரிமைக்கான ஆதாரம் அல்ல; யாரும் ஒரு பெயரை ஒரு முகவரிக்குத் திருப்பலாம், ஒரு முகவரி பல பெயர்களுக்குப் பதிலளிக்கலாம்.

பின்னர் நீங்கள் கண்ட துறைமுகத்தில் கேட்பவரைச் சரிபார்க்கவும், போக்குவரத்துடன் பொருந்தும் வகையில். TCP இல் openssl s_client -connect vpn.example.com:1194 -servername vpn.example.com சேவையகம் வழங்கும் சங்கிலியை அச்சிடுகிறது. UDP இல் உங்களுக்கு DTLS தேவை: openssl s_client -dtls1_2 -connect vpn.example.com:1194 தரவுக்கற்றைகள் மீது அதே கைகுலுக்கலை இயக்குகிறது. முடிக்கப்பட்ட கைகுலுக்கல் ஏதோ கேட்பதையும் சான்றிதழை வைத்திருப்பதையும் நிரூபிக்கிறது, இது ping காட்டுவதை விட அதிகம் மற்றும் சுயவிவரத்தின் சொந்த நம்பிக்கை அமைப்புகள் கோருவதை விடக் குறைவு.

கைகுலுக்கல் தோல்வியடைந்து புரவலன் ping க்குப் பதிலளித்தால், துறைமுகம் தவறாக இருக்கலாம் அல்லது வடிகட்டப்பட்டிருக்கலாம். அதைச் சரியான துறைமுகத்தைக் கோருவதற்கான காரணமாக எடுத்துக்கொள்ளுங்கள், அருகிலுள்ளவற்றைத் துடைக்க அழைப்பாக அல்ல. nc -vzu சில அடுக்குகளில் எதுவும் கேட்காதபோதும் வெற்றியைத் தெரிவிக்கிறது, எனவே பின்னால் கைகுலுக்கல் இல்லாத வெறும் UDP சோதனை எதையும் குறிக்காது.

நம்பிக்கை ஊசிகளை முகவரியிலிருந்து தனியாகப் படியுங்கள்

முகவரி கிளையண்ட் எங்கு செல்கிறது என்பதைத் தீர்மானிக்கிறது; நம்பிக்கைத் தொகுதி வந்ததும் அது யாரை நம்புகிறது என்பதைத் தீர்மானிக்கிறது. verify-x509-name "vpn.example.com" name பொருளின் பொதுப் பெயரைப் பிணைக்கிறது, remote-cert-tls server சேவையக அங்கீகாரத்திற்கு விரிவாக்கப்பட்ட விசைப் பயன்பாட்டைக் கோருகிறது. இயக்குபவர் உங்களுக்கு வழங்கும் சுயவிவரம் இரண்டையும் கொண்டிருக்க வேண்டும்.

ca, உள்ளமைந்த <ca> தொகுதி, மற்றும் tls-crypt அல்லது tls-auth ஆகியவற்றைத் தேடுங்கள். tls-auth பயன்படுத்தும் சுயவிவரத்திற்கு, சேவையகப் பக்கம் திசை 0 ஐப் பயன்படுத்தும்போது கிளையண்டில் key-direction 1 தேவை, மேலும் பொருந்தாமை சான்றிதழ்க் குறைபோல வாசிக்கப்படும் TLS பிழையால் கைகுலுக்கலைத் தோல்வியடையச் செய்கிறது. நீங்கள் இப்போது பெயரைத் தீர்த்த இயக்குபவருக்குச் சொந்தமில்லாத உள்ளமைந்த CA என்பது கோப்பு இரண்டு மூலங்களிலிருந்து இணைக்கப்பட்டது என்று பொருள், அதுவே திட்டவட்டமாக மறுக்கத் தகுந்த நிலை.

verify-x509-name name, name-prefix அல்லது subject முறைகளை ஏற்கிறது, கடைசியானது சேவையகம் அச்சிடும் அதே வரிசையில் முழு வேறுபடுத்தும் பெயரை எதிர்பார்க்கிறது. மதிப்பின் வடிவத்திற்குப் பொருந்தும் முறையைத் தேர்ந்தெடுங்கள், ஏனெனில் கிளையண்ட் நெருங்கிய தவறு குறித்து எச்சரிப்பதற்குப் பதிலாக ஒவ்வொரு இணைப்பையும் நிராகரிக்கிறது. நீங்கள் எழுதாத கோப்பிற்கு, எளிய புரவலன் பெயருடன் name மிகக் குறைவான ஆச்சரியமளிக்கும் தேர்வு.

அமைதியாகத் தோல்வியடையும் விருப்பங்களைச் சரிபாருங்கள்

OpenVPN 2.6 data-ciphers வழியாக மறையீடுகளைப் பேச்சுவார்த்தை செய்கிறது, பழைய cipher AES-256-CBC வரியை மட்டும் கொண்ட சுயவிவரம் கட்டுப்பாட்டு கால்வாயை முடித்துவிட்டு தரவில் நிற்கலாம். அந்த மதிப்பைப் படிப்பது, கோப்பு நீங்கள் சேரும் சேவையகத்தை விடப் பழையதா என்பதைச் சொல்கிறது; 2.6 இன் கையேடு பக்கம் பேச்சுவார்த்தை வரிசையைப் பட்டியலிடுகிறது, இயக்குபவரிடம் மேற்கோள் காட்ட வேண்டியிருந்தால்.

கோப்புப் பெயர் இல்லாத auth-user-pass என்பது கிளையண்ட் கேட்கும் என்று பொருள், எனவே தன்னிறைவானதாகத் தோன்றும் சுயவிவரத்திற்கும் சான்றுகள் தேவை. auth-user-pass credentials.txt என்பது உங்களுக்கு அனுப்பப்படாமல் இருக்கக்கூடிய கோப்பை எதிர்பார்க்கிறது என்று பொருள். nobind மற்றும் resolv-retry infinite சாதாரணமானவை மற்றும் பாதிப்பில்லாதவை, ஆனால் explicit-exit-notify UDP க்கு மட்டுமே மற்றும் TCP இல் பயனற்றது.

இவற்றில் எதுவும் சுயவிவரம் எங்கு இணைகிறது என்பதை மாற்றாது, ஆனால் ஒவ்வொன்றும் அது இணைகிறதா என்பதை மாற்றுகிறது, எதுவும் கிளையண்டின் இறக்குமதி உரையாடலில் தெரியவில்லை.

முடிவு செய்யுங்கள், பின்னர் முடிவு செய்ததைப் பதிவு செய்யுங்கள்

இந்த வாசிப்புக்குப் பிறகு மூன்று முடிவுகள் உள்ளன, ஒன்று மட்டுமே இறக்குமதி. இறுதி முனையும் ஊசிகளும் தனி வழியில் பெற்ற வழிமுறைகளுடன் பொருந்தினால், அதை இறக்குமதி செய்யுங்கள். இறுதி முனை சரியாகத் தோன்றினாலும் ஊசிகள் அல்லது CA பொருந்தவில்லை என்றால், திருத்தப்பட்ட கோப்பைக் கேளுங்கள். கோப்பு வெவ்வேறு மூலங்களின் இறுதி முனைகள் அல்லது CA பொருட்களைக் கலந்தால், அதை நீக்கி புதிய நகலைக் கேளுங்கள்.

நீங்கள் சரிபார்த்த ஹாஷைப் பதிவு செய்யுங்கள், அடுத்தவர் கோப்பு மாறியதா என்பதை அறிய: sha256sum profile.ovpn, உங்கள் குறிப்புகளில் இறுதி முனைக்கு அருகில் ஒட்டுங்கள். சுயவிவரம் முகவரிப் பட்டியல் அல்ல, முழு ஏற்பாடு, எனவே வேலை செய்யும் remote ஐ வேறொருவரின் நம்பிக்கைத் தொகுதியில் அவர்களின் சான்றுகளை வைத்துக்கொண்டு ஒருபோதும் செருகாதீர்கள்.

குறிப்புகளை ஒப்பிடும்போது தனிப்பட்ட விசைகளையும் கடவுச்சொற்களையும் திரைப்பிடிப்புகள் மற்றும் அரட்டை இழைகளிலிருந்து விலக்கி வையுங்கள். இறுதி முனையும் இரகசியமல்லாத விருப்பங்களும் துல்லியமான கேள்வி கேட்க போதுமானவை, மீதி கோப்பிலேயே இருக்க வேண்டும்.

நீங்கள் அதை இறக்குமதி செய்து முதல் முயற்சி தோல்வியடைந்தால், கிளையண்டை --verb 3 உடன் இயக்கி முதல் பத்து வரிகளைப் படியுங்கள்: தீர்க்கப்பட்ட remote முகவரி, பேச்சுவார்த்தை செய்யப்பட்ட proto மற்றும் TLS பிழை அதே வரிசையில் வரும், இது மேலே உள்ள எந்தச் சரிபார்ப்பை நீங்கள் தவிர்த்தீர்கள் என்று சொல்கிறது.