Ikki OpenVPN profilini kalitlarni oshkor qilmasdan solishtiring

Matnli diff o'zgartirilgan direktivani ko'rsatganidek, ichki kalitlarni ham oson ochib berishi mumkin. Himoyalangan nusxalarda rol bo'yicha solishtiring, so'ng alohida tahrirlangan diagnostik fayl yarating.

Ikki profil, biri ulanadi, ikkinchisi ulanmaydi, va sababini ko'rishning tez yo'li — diff. Muammo shundaki, o'sha diff ichki maxfiy kalitni, statik kalitni va fayl olib yurgan har qanday hisob ma'lumotlari blokini chop etadi, odamlar esa buni payqashdan oldin natijani chatga joylashtiradilar. Nimani solishtirayotganingizni hal qilish buyruqni ishga tushirishdan oldin keladi. Himoyalangan nusxalarda tuzilma va rollarni solishtiring, boshqa birov ko'rishi kerak bo'lsa, alohida tahrirlangan fayl yarating.

.ovpn fayli aslida nima olib yuradi

Fayl .ovpn ixtiyoriy ichki bloklarga ega konfiguratsiya. U CA sertifikati, mijoz sertifikati, maxfiy kalit, tls-auth yoki tls-crypt kaliti, hamda tashqi fayllarga ishora qiluvchi yoki hisob ma'lumotlarini so'raydigan direktivalarni saqlashi mumkin. Ikki fayl deyarli bir xil ko'rinib, faqat blok ichida farq qilishi yoki transportni butunlay o'zgartiradigan bitta direktivada farq qilishi mumkin. Satrlar soni ulardan qaysi biri sodir bo'lganini aytmaydi.

Kalit bloki ichidagi farq hech narsaning ommaviy isboti emas. Qayta berilgan sertifikat va yangi kalitli sertifikat bir xil shakldagi o'zgarish berishi mumkin, shuning uchun blok nomuvofiqligi material boshqa ekanini aytadi, qaysi qaror uni yaratganini emas. Buni maydonlarni solishtirish signali deb qabul qiling, xulosa deb emas.

Satr bo'yicha emas, rol bo'yicha solishtiring

Ulanishning o'z tartibiga rioya qiling: avval oxirgi nuqta va transport, so'ng ishonch va kutilgan shaxs, so'ng foydalanuvchi autentifikatsiyasi, so'ng marshrutlar, DNS va skript ilgaklari. Bu tartib mijoz qiladigan ishga mos keladi, shuning uchun duch keladigan birinchi farq ulanishni buzgan bo'lishi mumkin bo'lgan birinchi narsa. Alifbo bo'yicha solishtirish esa bog'liq sozlamalarni butun natija bo'ylab sochib yuboradi.

Maydonlarga e'tiborli o'tish bu elementlarni shu tartibda ko'radi. Mijoz interaktiv so'raydigan har qanday narsa ishonch satrlariga emas, autentifikatsiya satriga tegishli.

  • remote, proto va port, har bir ulanish blokini qo'shib.
  • ca va cert: chiqaruvchi, mavzu va amal qilish muddati.
  • Maxfiy kalit umuman bormi, hech qachon unda nima borligi emas.
  • tls-auth yoki tls-crypt mavjudligi va kalit yo'nalishi.
  • Autentifikatsiya direktivalari, har qanday hisob ma'lumotlari fayliga havolani qo'shib.
  • Ulanishda ishlaydigan marshrutlar, DNS parametrlari va skript ilgaklari.

Fayl bir nechta ulanish blokini saqlasa, har bir parametrni o'z oxirgi nuqtasi bilan birga saqlang. Faqat birinchi remote satrni solishtirish mijoz bu tarmoqda haqiqatda tanlaydigan muqobilni o'tkazib yuborishi mumkin.

Nega oddiy diff noto'g'ri asbob

Oddiy diff matn uchun qurilgan, sirlar uchun emas. U maxfiy kalitni xursandchilik bilan ekran tarixiga chop etadi va siz qarab turgan direktiva nosozlikka aloqasi yo'qligini aytmaydi. Maydonlarni ajratib olish bir vaqtda xavfsizroq va o'qish osonroq, chunki sertifikat materialini bayt sifatida emas, metama'lumot sifatida solishtirish mumkin.

openssl x509 -in ca.crt -noout -subject -issuer -enddate
openssl x509 -in client.crt -noout -subject -issuer -enddate
grep -E '^(remote|proto|port|tls-auth|tls-crypt|route|dhcp-option)' profile.ovpn

Birinchi ikki buyruq kalitga tegmasdan shaxs va amal qilishni chop etadi, shuning uchun ularning natijasini joylashtirish xavfsiz. grep direktiva nomlari va qiymatlarini chop etadi, lekin hech qachon bloklarning tanasini emas, bu uni transport yoki marshrutlash farqidan shubhalanganda to'g'ri birinchi o'tish qiladi. Agar blokning o'zini solishtirish kerak bo'lsa, mazmun o'rniga uning xeshini solishtiring.

Tiket uchun tahrirlangan nusxa yarating

Farqni tushuntirish uchun maydon nomlari va yetarli tuzilmani saqlab, haqiqiy sirlar va keraksiz identifikatorlarni olib tashlang. Xuddi shu shakldagi belgi material qayerda joylashgani va qancha uzun bo'lganini baribir oshkor qiladi, shuning uchun o'sha ham maqbulmi, hal qiling. Esingizda qolgan buyruqqa ishonish o'rniga yakuniy ilovaning o'zini tekshiring. Faqat misol yaratish uchun ishlayotgan asl nusxani tahrirlamang, chunki tahrirlangan profil albatta bajariladigan emas va uni hech qachon qayta import qilmaslik kerak.

Asl nusxalarni o'xshash nomli uch papkaga ko'chirish o'rniga fayl nomi va xesh bilan taniladigan qilib saqlang. Xesh satri qaysi fayl ko'rib chiqilganini isbotlash uchun yetarli va oqib ketsa hech narsa turmaydi. O'zgarish yopilgach nusxalarni qisqartiring, keyingi odam bitta obro'li faylni meros olsin.

Solishtirishni nosozlikka bog'lab saqlang

Solishtirish o'z xarajatini bitta import yoki bitta ulanish nosozligi haqidagi savolga javob berganda oqlaydi. Avval muvaffaqiyatsiz bosqichni nomlang, so'ng faqat shu bosqichga bog'liq maydonlarni solishtiring; mijozning barcha hisob ma'lumotlarini bitta papkaga jamlash keyingi oqish ehtimolini oshiradi va keyingi diagnostikani sekinlashtiradi. Savol qanchalik tor bo'lsa, unga javob bera oladigan maydonlar ro'yxati shunchalik qisqa.

Agar yangi fayl operatordan kelgan bo'lsa, ishonch materialini almashtirishdan oldin uning tarqatish yo'lini tasdiqlang. O'zgarishdan keyin mijoz haqiqatda tanlagan import qilingan nusxani va kelishilgan natijani tekshiring, chunki direktivani boshqa mijoz versiyasi e'tiborsiz qoldirishi yoki boshqacha o'qishi mumkin. Diskdagi fayl ishlagan ulanishning isboti emas. Direktivalarning semantikasi OpenVPN 2.6 qo'llanmasida.

O'xshash maqolalar