Paano i-verify ang server ng isang OpenVPN profile bago ito i-import

May nagpapadala sa iyo ng profile, ini-import mo ito, at makalipas ang tatlumpung segundo may kliyenteng tumatawag sa isang destinasyong walang sinumang tumingin. Basahin muna ang file sa isang text editor, dahil lahat ng mahalaga ay nasa isang dakot na direktiba: remote, proto, port, ca, cert, tls-crypt at verify-x509-name. Ang lahat ng iba ay default na halaga, at doon nakatira ang mga sorpresa.

Ilista ang bawat endpoint na maaaring gamitin ng file

Magsimula sa mga endpoint, dahil ang isang profile ay maaaring maglaman ng ilan. Ang grep -nE '^[[:space:]]*(remote|proto|port|remote-random|connection)' profile.ovpn ay nagpi-print ng bawat kandidato sa pagkakasunod-sunod ng file, kabilang ang mga nakapaloob sa mga bloke na <connection> sa linya.

Kapag ang isang direktiba ay hindi naglalagay ng port, bumabalik ang kliyente sa default ng nakikinig, kaya ang remote vpn.example.com lamang ay nangangahulugang port 1194 kasama ang anumang proto na lalabas mamaya sa file. Maraming simpleng linya ng remote ay mga alternatibo: sinusubukan ng kliyente ang mga ito sa pagkakasunod-sunod maliban kung hinahalo sila ng remote-random, at hindi kailanman tahimik na pinapalitan ang host ng ibang operator. Dalawang linya ng remote sa magkaibang domain ang punto kung saan ka humihinto at nagtatanong kung alin ang sinadya.

Pansinin din ang ispeling ng proto. Ang tcp ay tinatanggap bilang kasingkahulugan ng tcp-client sa panig ng kliyente, ngunit ang tcp-server sa profile ng kliyente ay isang error sa configuration na may tendensiyang mag-hang kaysa mabigo nang malinis.

Kumpirmahin ang pangalan, pagkatapos ang port

Sinasabi ng dig +short vpn.example.com kung umiiral ang pangalan at kung aling mga address ang ibinabalik nito, at ang endpoint na may maraming address o nasa likod ng proxy ay maaaring lehitimong magbalik ng ilan. Ang resolusyon ng pangalan ay isang paunang kondisyon, hindi patunay ng pagmamay-ari; kahit sino ay maaaring ituro ang isang pangalan sa isang address, at ang isang address ay maaaring sumagot para sa maraming pangalan.

Pagkatapos suriin ang nakikinig sa port na natagpuan mo, ayon sa transport. Sa TCP, ang openssl s_client -connect vpn.example.com:1194 -servername vpn.example.com ay nagpi-print ng chain na ipinakita ng server. Sa UDP kailangan mo ng DTLS: ang openssl s_client -dtls1_2 -connect vpn.example.com:1194 ay nagsasagawa ng parehong handshake sa mga datagram. Ang natapos na handshake ay nagpapatunay na may nakikinig at may hawak na sertipiko, na higit pa sa ipinapakita ng ping at mas mababa sa hinihingi ng sariling mga setting ng pagtitiwala ng profile.

Kapag nabigo ang handshake at sumagot ang host sa ping, malamang mali ang port o na-filter. Ituring ito na dahilan upang humingi ng tamang port, hindi bilang paanyaya na walisin ang mga kalapit. Ang nc -vzu ay nag-uulat din ng tagumpay sa ilang stack nang walang anumang nakikinig, kaya ang hubad na pagsubok sa UDP ay walang ibig sabihin nang walang handshake sa likod nito.

Basahin ang mga pin ng pagtitiwala nang hiwalay sa address

Ang address ang nagpapasya kung saan pupunta ang kliyente; ang bloke ng pagtitiwala ang nagpapasya kung kanino ito naniniwala pagdating. Ang verify-x509-name "vpn.example.com" name ay nagpi-pin ng karaniwang pangalan ng subject, at ang remote-cert-tls server ay nangangailangan ng pinahabang paggamit ng key para sa authentication ng server. Ang profile na ibinigay sa iyo ng operator ay dapat magdala ng dalawa.

Hanapin ang ca, isang bloke na <ca> sa linya, at alinman sa tls-crypt o tls-auth. Ang profile na gumagamit ng tls-auth ay nangangailangan ng key-direction 1 sa kliyente kapag ang panig ng server ay gumagamit ng direksiyon 0, at ang hindi pagkakatugma ay nagpapabigo sa handshake ng error sa TLS na binabasa na parang depekto ng sertipiko. Ang bloke na CA sa linya na hindi kabilang sa operator na kakaresolba mo lang ng pangalan ay nangangahulugang ang file ay binuo mula sa dalawang pinagmulan, at iyon ang kaso na dapat tanggihan nang tahasan.

Ang verify-x509-name ay tumatanggap ng mga mode na name, name-prefix o subject, at ang huli ay umaasa ng buong natatanging pangalan sa eksaktong pagkakasunod-sunod na ipinpi-print ng server. Pumili ng mode na tumutugma sa hugis ng halaga, dahil tinatanggihan ng kliyente ang bawat koneksiyon sa halip na magbigay ng babala tungkol sa muntik nang pagtama. Para sa file na hindi ikaw ang sumulat, ang name na may simpleng hostname ang pinakamababang nakakagulat na pagpipilian.

Suriin ang mga opsiyon na tahimik na nabibigo

Ang OpenVPN 2.6 ay nakikipagnegosasyon ng mga cipher sa pamamagitan ng data-ciphers, at ang profile na may lamang lumang linya ng cipher AES-256-CBC ay maaaring makatapos ng control channel at pagkatapos ay tumigil sa data. Ang pagbasa sa halagang iyon ay nagsasabi kung ang file ay mas matanda kaysa sa server na sinasalihan mo; ang pahina ng manwal ng 2.6 ay naglilista ng pagkakasunod-sunod ng negosasyon kung kailangan mong sipiin ito sa operator.

Ang auth-user-pass na walang pangalan ng file ay nangangahulugang magtatanong ang kliyente, kaya ang profile na mukhang nakapag-iisa ay nangangailangan pa rin ng mga kredensiyal. Ang auth-user-pass credentials.txt ay nangangahulugang umaasa ito ng file na malamang hindi ipinadala sa iyo. Ang nobind at resolv-retry infinite ay karaniwan at walang pinsala, samantalang ang explicit-exit-notify ay para lamang sa UDP at walang saysay sa TCP.

Wala sa mga ito ang nagbabago kung saan kumokonekta ang profile, ngunit bawat isa ay nagbabago kung kumokonekta ito talaga, at wala sa mga ito ang nakikita sa dayalogo ng pag-import ng kliyente.

Magpasya, pagkatapos itala ang napagpasyahan

Pagkatapos ng pagbasang ito may tatlong kinalabasan, at isa lamang ang pag-import. Kapag ang endpoint at ang mga pin ay tumutugma sa mga tagubiling natanggap sa hiwalay na channel, i-import ito. Kapag ang endpoint ay mukhang tama ngunit ang mga pin o ang CA ay hindi tumutugma, humingi ng itinamang file. Kapag ang file ay naghahalo ng mga endpoint o materyal na CA mula sa magkaibang pinagmulan, burahin ito at humingi ng bagong kopya.

Itala ang hash na sinuri mo, upang malaman ng susunod na tao kung nagbago ang file: sha256sum profile.ovpn, nakadikit sa tabi ng endpoint sa iyong mga tala. Ang profile ay isang buong kaayusan, hindi isang listahan ng address, kaya huwag kailanman isingit ang gumaganang remote sa bloke ng pagtitiwala ng iba habang pinapanatili ang kanilang mga kredensiyal.

Itago ang mga pribadong key at password mula sa mga screenshot at thread ng chat habang inihahambing mo ang mga tala. Ang endpoint at ang mga opsiyong hindi lihim ay sapat upang magtanong nang tumpak, at ang natitira ay nabibilang sa file.

Kung i-import mo pa rin ito at mabigo ang unang pagtatangka, patakbuhin ang kliyente gamit ang --verb 3 at basahin ang unang sampung linya: ang naresolbang address ng remote, ang napagkasunduang proto at ang error sa TLS ay lumalabas sa ganoong pagkakasunod-sunod, na nagsasabi kung alin sa mga pagsusuring nasa itaas ang nilaktawan mo.