โปรไฟล์ VPN ที่ได้รับมาสามารถเปลี่ยนอะไรบนอุปกรณ์ของคุณ

การมอบโปรไฟล์ VPN ให้ไคลเอนต์ของคุณคือการมอบการกำหนดค่าที่คนอื่นเขียน ซึ่งโปรแกรมนั้นจะรันบนเครื่องของคุณ การนำเข้าอาจเปลี่ยนเส้นทางที่ทราฟฟิกที่ถูกปกคลุมไป ฝ่ายที่อุปกรณ์ของคุณเชื่อถือ และในบางรูปแบบยังเปลี่ยนว่าโปรแกรมภายในเครื่องใดจะเริ่มทำงานเมื่ออุโมงค์เชื่อมต่อขึ้น โปรไฟล์ไม่ใช่ที่คั่นหน้า มันคือโปรแกรมเล็ก ๆ ในรูปแบบที่ประกาศไว้

อ่านมันเหมือนที่คุณอ่านสคริปต์เชลล์จากแหล่งเดียวกัน

ไคลเอนต์เป็นผู้ตีความ ไม่ใช่คุณ

ทุกฟิลด์ในไฟล์คือคำสั่งถึงไคลเอนต์เฉพาะราย ปลายทางและโปรโตคอลกำหนดว่าอุโมงค์ไปที่ใด บล็อกการพิสูจน์ตัวตนกำหนดว่าต้องการความลับใด และคำสั่งเส้นทางกำหนดว่าอะไรจะเข้าสู่มัน ใบรับรองหรือกุญแจส่วนตัวอาจถูกฝังเป็นบล็อกแทนการอ้างอิงเป็นไฟล์ ซึ่งเป็นเหตุผลที่ไฟล์ข้อความไฟล์เดียวบางครั้งบรรจุ ทุกสิ่งที่จำเป็นในการแอบอ้างเป็นคุณต่อหน้าเกตเวย์ คุณสมบัตินั้นเองที่ทำให้การแบ่งปันไฟล์อย่างไม่ระวังอันตรายถึงเพียงนี้

โปรไฟล์ OpenVPN ยังสามารถมีฮุกสคริปต์ เส้นทางปลั๊กอิน และระดับความปลอดภัยที่กำหนดว่าฮุกเหล่านั้นทำงานได้หรือไม่ การผสมผสานนี้เองที่ทำให้โปรไฟล์แปลกหน้าควรค่าแก่การอ่านทีละบรรทัดแทนการดับเบิลคลิก ไคลเอนต์จะทำตามที่ไฟล์ระบุไว้อย่างเคร่งครัด และจะทำด้วยสิทธิ์ของคุณ

การเปลี่ยนแปลงเส้นทางจะเห็นได้หลังการเชื่อมต่อหนึ่งครั้ง

โปรไฟล์อุโมงค์เต็มจะติดตั้งเส้นทางที่ส่งทุกอย่างผ่านเกตเวย์ ขณะที่โปรไฟล์อุโมงค์แบบแยกจะส่งเฉพาะคำนำหน้าที่เลือกไว้ โปรไฟล์บางตัวยังดันเซิร์ฟเวอร์ DNS เข้าไปด้วย ซึ่งเปลี่ยนอย่างเงียบ ๆ ว่าใครเห็นคำค้นหาของคุณ ไม่มีสิ่งใดในนี้เป็นอันตรายในตัวเอง และไม่มีสิ่งใดชัดเจนจากชื่อไฟล์

เปรียบเทียบตารางเส้นทางก่อนและหลังการเชื่อมต่อครั้งแรก แล้วคุณจะเห็นเจตนาในพริบตา โปรไฟล์ที่โฆษณาว่าเป็นการเข้าถึงแอปภายในหนึ่งตัวแต่กลับติดตั้งเส้นทางเริ่มต้นที่กว้างกว่า กำลังบอกอะไรบางอย่างเกี่ยวกับผู้เขียน

วัสดุความเชื่อถือและฮุกคือสิ่งที่แบกรับน้ำหนักจริง

โปรไฟล์สามารถให้ข้อมูลความเชื่อถือแก่ไคลเอนต์ VPN และ แพ็กเกจการกำหนดค่าแพลตฟอร์มสามารถไปไกลกว่านั้นและติดตั้งใบรับรองหรือรากลงในที่เก็บของระบบ สิ่งเหล่านี้เป็นขอบเขตที่ต่างกันด้วยผลลัพธ์ที่ต่างกัน กรณีในขอบเขตไคลเอนต์ส่งผลต่อการตรวจสอบของแอปหนึ่งตัว ส่วนกรณีระดับระบบส่งผลต่อทุกอย่างที่ใช้ที่เก็บความเชื่อถือของแพลตฟอร์ม

ฮุกสคริปต์และปลั๊กอินคืออีกครึ่งหนึ่ง คำสั่งที่รันคำสั่งเมื่อเชื่อมต่อ หรือปลั๊กอินที่โหลดเข้าไปในโปรเซสไคลเอนต์ มีสิทธิ์ของคุณและไม่มีอะไรของการแยกตัวของไคลเอนต์เลย หากโปรไฟล์ที่คุณไม่ได้ขอมีสิ่งนั้นอยู่ นั่นคือคำถามสำหรับคนที่ส่งมา

ไม่มีหมวดใดในสองหมวดนี้ที่เป็นศัตรูโดยอัตโนมัติ การติดตั้งในองค์กรใช้ทั้งสองแบบ ประเด็นคือแต่ละอย่างต้องมีคำอธิบายที่คุณตรวจสอบได้

ตรวจสอบที่มา แล้วจึงป้อนความลับ

ยืนยันว่าใครออกไฟล์ผ่านช่องทางที่คุณเชื่อถืออยู่แล้ว ไม่ใช่ผ่านข้อความที่นำส่งมันมา เปรียบเทียบรายละเอียดปลายทางและใบรับรองกับเอกสารที่ผู้ให้บริการเผยแพร่ หากโปรไฟล์มาถึงโดยที่คุณไม่ได้ขอ ให้ขอใหม่โดยตรงจากผู้ให้บริการแทนการซ่อมสำเนาที่ได้รับมา ถามว่าผู้ให้บริการรองรับไคลเอนต์เวอร์ชันใด เพราะไฟล์เดียวกันอาจถูกตีความต่างกันโดยไคลเอนต์อื่น

grep -nE '^(remote|proto|auth-user-pass|redirect-gateway|route|route-nopull)' office.ovpn
grep -nE '^(up|down|plugin|script-security|setenv)' office.ovpn
openssl x509 -in embedded-ca.crt -noout -subject -issuer -dates

อย่าใส่รหัสผ่านลงในฟิลด์ที่ไม่ได้อธิบายเพื่อดูว่ามันทำงานหรือไม่ และอย่ายอมรับคำขอสิทธิ์ที่ไม่คุ้นเคยเพียงเพื่อทำให้การนำเข้าเสร็จ การเชื่อมต่อที่สำเร็จพิสูจน์ว่าปลายทางตอบกลับ เท่านั้น

ลบสำเนาที่นำเข้า ไม่ใช่ไฟล์ที่ดาวน์โหลด

ไคลเอนต์คัดลอกโปรไฟล์ไปยังที่เก็บของตัวเอง ดังนั้นการลบไฟล์ที่ดาวน์โหลดจึงทำให้การเชื่อมต่อที่นำเข้ายังใช้งานได้ ลบผ่านอินเทอร์เฟซของไคลเอนต์เอง และตรวจสอบว่าใบรับรองใดที่เพิ่มระหว่างการนำเข้าได้หายไปด้วย จากนั้นยืนยันว่าเส้นทางที่มันติดตั้งไว้ก็หายไปเช่นกัน

หากติดตั้งใบรับรองในระดับระบบ การลบโปรไฟล์อย่างเดียวไม่พอ การทำความสะอาดนั้นเป็นของการจัดการความเชื่อถือของแพลตฟอร์ม และควรทำอย่างตั้งใจแทนการหวังว่าการรีบูตครั้งหน้าจะจัดการให้