OpenVPN ప్రొఫైల్ సర్వర్ను దిగుమతి చేసుకునే ముందు ఎలా ధృవీకరించాలి

ఎవరో మీకు ప్రొఫైల్ పంపుతారు, మీరు దాన్ని దిగుమతి చేసుకుంటారు, ముప్పై సెకన్ల తర్వాత ఎవరూ తనిఖీ చేయని గమ్యాన్ని ఒక క్లయింట్ డయల్ చేస్తోంది. మొదట ఫైల్ను టెక్స్ట్ ఎడిటర్లో చదవండి, ఎందుకంటే ముఖ్యమైనదంతా కొన్ని సూచనల్లో ఇమిడి ఉంటుంది: remote, proto, port, ca, cert, tls-crypt మరియు verify-x509-name. మిగతావన్నీ డిఫాల్ట్ విలువలు, ఆశ్చర్యాలు అక్కడే నివసిస్తాయి.

ఫైల్ ఉపయోగించగల ప్రతి ముగింపు బిందువును జాబితా చేయండి

ముగింపు బిందువులతో ప్రారంభించండి, ఎందుకంటే ఒక ప్రొఫైల్లో అనేకం ఉండవచ్చు. grep -nE '^[[:space:]]*(remote|proto|port|remote-random|connection)' profile.ovpn ప్రతి అభ్యర్థిని ఫైల్ క్రమంలో ముద్రిస్తుంది, ఇన్లైన్ <connection> బ్లాక్లలో గూడుకట్టుకున్నవి సహా.

ఒక సూచన పోర్టును వదిలివేసినప్పుడు, క్లయింట్ వినేవారి డిఫాల్ట్కు తిరుగుతుంది, కాబట్టి remote vpn.example.com ఒక్కటే పోర్టు 1194 అర్థం, ఫైల్లో తర్వాత ఏ proto వచ్చినా. అనేక సాధారణ remote వరుసలు ప్రత్యామ్నాయాలు: క్లయింట్ వాటిని క్రమంగా ప్రయత్నిస్తుంది, remote-random వాటిని కలపకపోతే, మరియు అది ఎప్పుడూ నిశ్శబ్దంగా మరో ఆపరేటర్ హోస్ట్ను భర్తీ చేయదు. సంబంధం లేని డొమైన్లలో రెండు remote వరుసలు మీరు ఆగి ఏది ఉద్దేశించారో అడిగే స్థలం.

proto స్పెల్లింగ్ను కూడా గమనించండి. tcp క్లయింట్ వైపు tcp-client కి పర్యాయపదంగా అంగీకరించబడుతుంది, కానీ క్లయింట్ ప్రొఫైల్లో tcp-server శుభ్రంగా విఫలమవ్వడం కంటే వేలాడే ప్రవృత్తి ఉన్న కాన్ఫిగరేషన్ లోపం.

మొదట పేరు, తర్వాత పోర్టు నిర్ధారించండి

dig +short vpn.example.com పేరు ఉందో లేదో మరియు ఏ చిరునామాలు తిరిగి ఇస్తుందో చెబుతుంది, బహుళ చిరునామా లేదా ప్రాక్సీ వెనుక ఉన్న ముగింపు బిందువు చట్టబద్ధంగా అనేకం తిరిగి ఇవ్వగలదు. పేరు పరిష్కారం ముందస్తు షరతు, యాజమాన్యానికి రుజువు కాదు; ఎవరైనా పేరును చిరునామాకు మళ్లించవచ్చు, ఒక చిరునామా అనేక పేర్లకు సమాధానం ఇవ్వగలదు.

తర్వాత మీరు కనుగొన్న పోర్టులో వినేవారిని తనిఖీ చేయండి, రవాణాకు సరిపోయేలా. TCP పై openssl s_client -connect vpn.example.com:1194 -servername vpn.example.com సర్వర్ ప్రదర్శించే గొలుసును ముద్రిస్తుంది. UDP పై మీకు DTLS కావాలి: openssl s_client -dtls1_2 -connect vpn.example.com:1194 డేటాగ్రామ్లపై అదే హ్యాండ్షేక్ నిర్వహిస్తుంది. పూర్తయిన హ్యాండ్షేక్ ఏదో వినిపిస్తోందని మరియు ధృవపత్రాన్ని కలిగి ఉందని నిరూపిస్తుంది, ఇది ping చూపే దానికంటే ఎక్కువ మరియు ప్రొఫైల్ స్వంత విశ్వాస సెట్టింగ్లు కోరే దానికంటే తక్కువ.

హ్యాండ్షేక్ విఫలమై హోస్ట్ ping కి సమాధానం ఇచ్చినప్పుడు, పోర్టు తప్పు లేదా ఫిల్టర్ చేయబడి ఉండవచ్చు. దాన్ని సరైన పోర్టు అడగడానికి కారణంగా తీసుకోండి, సమీపంలోని వాటిని ఊడ్చడానికి ఆహ్వానంగా కాదు. nc -vzu కొన్ని స్టాక్లపై ఏమీ వినిపించకపోయినా విజయాన్ని నివేదిస్తుంది, కాబట్టి వెనుక హ్యాండ్షేక్ లేని కేవలం UDP పరీక్ష ఏమీ అర్థం కాదు.

విశ్వాస పిన్నులను చిరునామా నుండి వేరుగా చదవండి

చిరునామా క్లయింట్ ఎక్కడికి వెళ్తుందో నిర్ణయిస్తుంది; విశ్వాస బ్లాక్ చేరుకున్న తర్వాత ఎవరిని నమ్ముతుందో నిర్ణయిస్తుంది. verify-x509-name "vpn.example.com" name సబ్జెక్ట్ సాధారణ పేరును పిన్ చేస్తుంది, మరియు remote-cert-tls server సర్వర్ ప్రామాణీకరణ కోసం విస్తరిత కీ వినియోగాన్ని కోరుతుంది. ఆపరేటర్ ఇచ్చిన ప్రొఫైల్ రెండింటినీ కలిగి ఉండాలి.

ca, ఇన్లైన్ <ca> బ్లాక్, మరియు tls-crypt లేదా tls-auth వెతకండి. tls-auth ఉపయోగించే ప్రొఫైల్కు సర్వర్ వైపు దిశ 0 ఉపయోగించినప్పుడు క్లయింట్లో key-direction 1 అవసరం, మరియు అసమానత హ్యాండ్షేక్ను ధృవపత్రం లోపంగా చదవబడే TLS లోపంతో విఫలం చేస్తుంది. మీరు ఇప్పుడే పేరు పరిష్కరించిన ఆపరేటర్కు చెందని ఇన్లైన్ CA అంటే ఫైల్ రెండు మూలాల నుండి కూర్చబడింది, అదే నిర్ద్వంద్వంగా తిరస్కరించదగిన సందర్భం.

verify-x509-name name, name-prefix లేదా subject మోడ్లను అంగీకరిస్తుంది, చివరిది సర్వర్ ముద్రించే అదే క్రమంలో పూర్తి విశిష్ట నామాన్ని ఆశిస్తుంది. విలువ ఆకారానికి సరిపోయే మోడ్ను ఎంచుకోండి, ఎందుకంటే క్లయింట్ దగ్గరి తప్పు గురించి హెచ్చరించడం బదులు ప్రతి కనెక్షన్ను తిరస్కరిస్తుంది. మీరు వ్రాయని ఫైల్కు, సాధారణ హోస్ట్నేమ్తో name అత్యంత తక్కువ ఆశ్చర్యకరమైన ఎంపిక.

నిశ్శబ్దంగా విఫలమయ్యే ఎంపికలను తనిఖీ చేయండి

OpenVPN 2.6 data-ciphers ద్వారా సైఫర్లను చర్చిస్తుంది, పాత cipher AES-256-CBC పంక్తిని మాత్రమే కలిగి ఉన్న ప్రొఫైల్ నియంత్రణ ఛానెల్ను పూర్తి చేసి తర్వాత డేటాపై ఆగిపోవచ్చు. ఆ విలువను చదవడం ఫైల్ మీరు చేరుతున్న సర్వర్ కంటే పాతదా అని చెబుతుంది; 2.6 యొక్క మాన్యువల్ పేజీ చర్చల క్రమాన్ని జాబితా చేస్తుంది, ఆపరేటర్కు ఉదహరించాల్సి వస్తే.

ఫైల్ పేరు లేని auth-user-pass అంటే క్లయింట్ అడుగుతుంది, కాబట్టి స్వయం సమృద్ధిగా కనిపించే ప్రొఫైల్కు కూడా ఆధారాలు అవసరం. auth-user-pass credentials.txt అంటే మీకు పంపబడని ఫైల్ను ఆశిస్తోంది. nobind మరియు resolv-retry infinite సాధారణమైనవి మరియు హానికరం కానివి, కానీ explicit-exit-notify UDP కే మరియు TCP పై నిరుపయోగం.

వీటిలో ఏదీ ప్రొఫైల్ ఎక్కడ కనెక్ట్ అవుతుందో మార్చదు, కానీ ప్రతిదీ అది కనెక్ట్ అవుతుందో లేదో మారుస్తుంది, ఏదీ క్లయింట్ దిగుమతి సంభాషణలో కనిపించదు.

నిర్ణయించండి, తర్వాత నిర్ణయించినది నమోదు చేయండి

ఈ పఠనం తర్వాత మూడు ఫలితాలు ఉన్నాయి, ఒక్కటి మాత్రమే దిగుమతి. ముగింపు బిందువు మరియు పిన్నులు వేరే మార్గం ద్వారా పొందిన సూచనలతో సరిపోతే, దాన్ని దిగుమతి చేయండి. ముగింపు బిందువు సరిగ్గా కనిపించినా పిన్నులు లేదా CA సరిపోకపోతే, సవరించిన ఫైల్ అడగండి. ఫైల్ వేర్వేరు మూలాల ముగింపు బిందువులను లేదా CA పదార్థాన్ని కలిపితే, దాన్ని తొలగించి కొత్త నకలు అడగండి.

మీరు సమీక్షించిన హాష్ను నమోదు చేయండి, తదుపరి వ్యక్తి ఫైల్ మారిందో లేదో తెలుసుకోవడానికి: sha256sum profile.ovpn, మీ నోట్స్లో ముగింపు బిందువు పక్కన అతికించండి. ప్రొఫైల్ చిరునామాల జాబితా కాదు, పూర్తి ఏర్పాటు, కాబట్టి పని చేసే remote ను మరొకరి విశ్వాస బ్లాక్లో వారి ఆధారాలను ఉంచి ఎప్పుడూ చేర్చవద్దు.

నోట్స్ పోల్చుతున్నప్పుడు ప్రైవేట్ కీలు మరియు పాస్వర్డ్లను స్క్రీన్షాట్లు మరియు చాట్ థ్రెడ్ల నుండి దూరంగా ఉంచండి. ముగింపు బిందువు మరియు రహస్యం కాని ఎంపికలు ఖచ్చితమైన ప్రశ్న అడగడానికి సరిపోతాయి, మిగిలినది ఫైల్లోనే ఉండాలి.

మీరు దాన్ని దిగుమతి చేసి మొదటి ప్రయత్నం విఫలమైతే, క్లయింట్ను --verb 3 తో అమలు చేసి మొదటి పది పంక్తులు చదవండి: పరిష్కరించిన remote చిరునామా, చర్చించిన proto మరియు TLS లోపం అదే క్రమంలో వస్తాయి, ఇది పైన ఏ తనిఖీని మీరు దాటవేశారో చెబుతుంది.