.ovpn dosyanız kod çalıştırabilir, yalnızca trafiği yönlendirmez

Çoğu insan bir .ovpn dosyasını bir yönlendiricinin ayarlar sayfasını okur gibi okur: adresler, rotalar, şifre listesi. Kodu çalıştıran kısım dibe yakın durur, tesisat işine benzeyen yönergelerin yanında, ve istemcinin hâlihazırda sahip olduğu her yetkiyle çalışır. Dikkatsiz ya da kötü niyetli bir profilin kullandığı boşluk budur ve yardımcı bir DNS betiğini üç hafta sonra destek sorununa çeviren boşluk da budur. Olay yönergesi, güvenlik düzeyi ve dosyanın sahipliği ne olabileceğine karar verir; betiğin içeriği gerçekte ne olduğuna karar verir. Bağlanmadan önce dördünü de okuyun.

Bir yardımcıyı çalıştıran profil bir programdır, ayar dosyası değil

route ve dhcp-option gibi yönergeler istemcinin kurması gereken durumu tanımlar ve istemci bunları veri olarak işler. up betiği farklıdır: istemci onu bir süreç olarak başlatır ve ona bağlantı ayrıntılarıyla dolu bir ortam verir, böylece yazarının yazdığı her şey hesabınızın haklarıyla çalışır. Kullanıcının yönetici olduğu bir dizüstünde bu, ek olarak veya bir forum başlığından yapıştırılmış bir dosya için geniş bir kapıdır. Ayrım üslupsal değildir, yapılandırma ile kod arasındaki farktır.

Bir kenara bırakılması gereken efsane şudur: bir profil yalnızca trafiği yeniden yönlendirebilir. ip route add çalıştıran yardımcı ile uzak bir ana makineye karşı curl çalıştıran yardımcı aynı mekanizmadır ve profil dışarıdan aynı görünür. Dosyanın görünümünde hangisine sahip olduğunuzu söyleyen hiçbir şey yoktur, bu yüzden inceleme betiğin kendisine ulaşmalıdır.

Yürütmeyi gerçekte ne belirler ve etkinleştiren satırlar nasıl görünür

Bir yardımcıyı üç şey denetler: ona ad veren olay yönergesi, ona izin veren script-security düzeyi ve istemci platformunun kendi uygulaması. Bir profil bir kanca isteyip yine de hiçbir şeyin olmadığını görebilir, çünkü bir mobil istemci veya kırpılmış masaüstü derlemesi o olayı hiç uygulamıyor olabilir. Aynı şekilde işlevinin ihtiyaç duyduğundan fazla izin isteyen bir profil kökeni hakkında size bir şey söyler. İzin düzeyi bir yetenektir, onay değildir. Etkinleştiren satırlar böyle görünür, yol sizinkinin yerine geçer.

script-security 2
up /etc/openvpn/update-resolv-conf.sh
down /etc/openvpn/update-resolv-conf.sh

Düzey 0 dış programları reddeder ve varsayılan olan düzey 1 yalnızca istemcinin yerleşik çalıştırılabilir dosyalarına izin verir, bu yüzden bir kanca 2 veya daha yükseğini gerektirir; düzey 3 çoğunlukla eski parolaların aktarılması için vardır ve kaçınılması iyidir. Bir kancayla birlikte gelen profil hem yönergeyi hem de o düzeyi gerektirir, bu yüzden dosyanın dibine yakın bir satır sertifika bloğuyla aynı incelemeyi hak eder. OpenVPN kılavuzu izin düzeylerini listeler ve ifadesi profilin gerçekte istediği şeyin yanında okunmaya değer.

Sahiplik, yol ve yardımcının neyle beslenmesi

Güvendiğiniz ama başka bir hesabın yeniden yazabileceği bir betiğe işaret eden profil güvenilir bir düzenleme değildir, çünkü dünkü inceleme bugün ne çalıştığını artık tanımlamıyor. Yardımcının sahibini ve kipini denetleyin ve yapılandırılmış yolun, incelediğiniz dosyaya ulaştığını, başka bir şeyin gölgeleyebileceği bir ada değil. Argümanlar ve ortam aynı bakışı hak eder: istemci bağlantı ayrıntılarını kancaya verir ve tüm ortamını günlüğe yazan bir yardımcı destek talebine kimlik bilgileri yazıyor olabilir. İşletmeciden veya platformdan belgelenmiş bir entegrasyonu, ilgisiz bir gönderiden kopyalanmış DNS betiğine tercih edin, çünkü aynı dosya için kavga eden iki çözümleyici yöneticisi bozuk bir VPN gibi görünen bir arıza üretir.

Başarısız bir kancayı bildirdiğinizde, herhangi bir yere yapıştırmadan önce ortamı gizleyin. Hata ayıklamanıza yardımcı olan döküm, sizi doğrulayan belirteci de taşıyor olabilir.

Temizleme arızaları tünel gittikten sonra ortaya çıkar

up yardımcısı rotalar ve çözümleyici ayarları ekler ve down yardımcısının bunları yeniden kaldırması gerekir. down kancası yoksa, sessizce başarısız olursa veya istemci öldürüldüğü için hiç çalışmazsa, artıklar oturumdan daha uzun yaşar. Sonra trafik kimsenin planlamadığı bir yola girer ve adlar kaldırılmış olması gereken bir çözümleyici üzerinden çözülür, tünelin kendisi ise sağlıklı görünür. Bu belirtiler bağlantı kesildikten sonra gelir, bu yüzden suç profil yerine ağa atılır.

Sökmeyi ayrı bir adım olarak test edin: tüneli kaldırın, rotaları ve çözümleyiciyi not edin, indirin, sonra ikisinin de gittiğini doğrulayın. Temiz bağlanan bir profil yine de durum bırakabilir ve yardımcının sıfır çıkış kodu, çözümleyicinin düşündüğünüz yerde bittiğini kanıtlamaz.

Yardımcıyı gözden geçirmek ve bir çıkış yolu tutmak

Betiği baştan sona okuyun ve üç şey arayın: yetki gerektiren komutlar, sisteminizde olmayabilecek sabit kodlanmış yollar ve yaptığı her ağ çağrısı. Sonra nasıl başarısız olduğuna bakın, çünkü hataları yutan bir yardımcı yapılandırma hatasını gizeme dönüştürür. Betiğin ne yaptığını ve kimin değiştirebileceğini tek bir cümleyle söyleyemiyorsanız, onu etkinleştirmeye hazır değilsiniz. O cümlenin gerektirdiğinden fazla yetki isteyen profil durma işaretidir.

Son çalışan profili ve işaret ettiği yardımcıyı korumalı depolamada, iki sürüm de not edilmiş olarak saklayın, böylece geri alma mümkün olan en kötü anda yeniden inşa değil bir kopya olsun. Yardımcı yalnızca artık ona ihtiyaç duymayan bir dağıtım veya istemci sürümü için varsa, hatalar durana kadar yetkileri yükseltmek yerine onu ayara sahip olan yapılandırmada emekliye ayırın. Çıkış yolu budur: daha az hareketli parça, daha fazla izin değil.