OpenVPN profili serverini import qilishdan oldin qanday tekshirish kerak

Kimdir sizga profil yuboradi, siz uni import qilasiz va o'ttiz soniyadan so'ng qaysidir mijoz hech kim tekshirmagan manzilga qo'ng'iroq qilmoqda. Avval faylni matn muharririda o'qing, chunki muhim bo'lgan hamma narsa bir hovuch direktivaga sig'adi: remote, proto, port, ca, cert, tls-crypt va verify-x509-name. Qolgan hamma narsa standart qiymatlar, va hayratlar aynan o'sha yerda yashaydi.

Fayl ishlatishi mumkin bo'lgan har bir oxirgi nuqtani sanang

Oxirgi nuqtalardan boshlang, chunki bitta profilda bir nechta bo'lishi mumkin. grep -nE '^[[:space:]]*(remote|proto|port|remote-random|connection)' profile.ovpn har bir nomzodni fayl tartibida chop etadi, satr ichidagi <connection> bloklariga joylashganlarini ham qo'shib.

Direktiva portni tashlab ketsa, mijoz tinglovchining standart qiymatiga qaytadi, shuning uchun faqat remote vpn.example.com 1194 portni bildiradi, faylda keyinroq qaysi proto chiqishidan qat'i nazar. Bir nechta oddiy remote satri muqobil hisoblanadi: mijoz ularni tartib bilan sinab ko'radi, agar remote-random ularni aralashtirmasa, va u hech qachon boshqa operatorning xostini jimgina almashtirmaydi. Aloqasiz domenlardagi ikki remote satri to'xtab, qaysi biri nazarda tutilganini so'raydigan joy.

proto imlosiga ham e'tibor bering. tcp mijoz tomonidagi tcp-client uchun sinonim sifatida qabul qilinadi, ammo mijoz profilidagi tcp-server toza muvaffaqiyatsizlikdan ko'ra osilib qolishga moyil konfiguratsiya xatosi.

Avval nomni, keyin portni tasdiqlang

dig +short vpn.example.com nom mavjudligini va qaysi manzillarni qaytarishini aytadi, ko'p manzilli yoki proksi orqasidagi oxirgi nuqta qonuniy ravishda bir nechtasini qaytarishi mumkin. Nomni hal qilish oldingi shart, egalik isboti emas; har kim nomni manzilga yo'naltira oladi va bitta manzil ko'p nomlarga javob bera oladi.

So'ngra topgan portingizdagi tinglovchini tekshiring, transportga mos ravishda. TCP ustida openssl s_client -connect vpn.example.com:1194 -servername vpn.example.com server taqdim etadigan zanjirni chop etadi. UDP ustida sizga DTLS kerak: openssl s_client -dtls1_2 -connect vpn.example.com:1194 xuddi shu qo'l berishni datagrammalar ustida bajaradi. Tugallangan qo'l berish kimdir tinglayotganini va sertifikat tutayotganini isbotlaydi, bu ping ko'rsatadiganidan ko'p va profilning o'z ishonch sozlamalari talab qiladiganidan kam.

Qo'l berish muvaffaqiyatsiz bo'lib, xost pingga javob bersa, port ehtimol xato yoki filtrlangan. Buni to'g'ri portni so'rash uchun sabab deb biling, yaqin atrofdagilarni supurishga taklif deb emas. nc -vzu ham ba'zi steklarda hech narsa tinglamasa-da muvaffaqiyat haqida xabar beradi, shuning uchun orqasida qo'l berishsiz yalang'och UDP sinovi hech narsani anglatmaydi.

Ishonch pinlarini manzildan alohida o'qing

Manzil mijoz qayerga borishini hal qiladi; ishonch bloki yetib kelgach kimga ishonishini hal qiladi. verify-x509-name "vpn.example.com" name sub'ektning umumiy nomini qotiradi, remote-cert-tls server esa server autentifikatsiyasi uchun kengaytirilgan kalit ishlatilishini talab qiladi. Operator bergan profilda ikkalasi ham bo'lishi kerak.

ca, satr ichidagi <ca> bloki va tls-crypt yoki tls-auth ni qidiring. tls-auth ishlatadigan profilga, server tomoni 0 yo'nalishini ishlatganda, mijozda key-direction 1 kerak bo'ladi, va nomuvofiqlik qo'l berishni sertifikat nuqsoniga o'xshab o'qiladigan TLS xatosi bilan barbod qiladi. Hozir nomini hal qilgan operatorga tegishli bo'lmagan satr ichidagi CA fayl ikki manbadan yig'ilganini bildiradi va bu qat'iy rad etishga arziydigan holat.

verify-x509-name name, name-prefix yoki subject rejimlarini qabul qiladi va oxirgisi server chop etadigan aniq tartibda to'liq farqlovchi nomni kutadi. Qiymat shakliga mos rejim tanlang, chunki mijoz yaqin xato haqida ogohlantirish o'rniga har bir ulanishni rad etadi. O'zingiz yozmagan fayl uchun oddiy xost nomi bilan name eng kam hayratlantiradigan tanlov.

Jimgina muvaffaqiyatsiz bo'ladigan parametrlarni tekshiring

OpenVPN 2.6 shifrlarni data-ciphers orqali kelishadi va faqat eski cipher AES-256-CBC satrini olib yurgan profil boshqaruv kanalini tugatib, keyin ma'lumotlarda to'xtab qolishi mumkin. Bu qiymatni o'qish fayl siz qo'shilayotgan serverdan eskiroq ekanini aytadi; 2.6 ning qo'llanma sahifasi kelishuv tartibini sanab beradi, agar uni operatorga keltirish kerak bo'lsa.

Fayl nomisiz auth-user-pass mijoz so'raydi degani, shuning uchun o'zini to'la deb ko'rsatadigan profilga ham hisob ma'lumotlari kerak. auth-user-pass credentials.txt sizga yuborilmagan bo'lishi mumkin faylni kutayotganini bildiradi. nobind va resolv-retry infinite oddiy va zararsiz, explicit-exit-notify esa faqat UDP uchun va TCP ustida foydasiz.

Bularning hech biri profil qayerga ulanashini o'zgartirmaydi, lekin har biri umuman ulanadimi-yo'qmi shuni o'zgartiradi va hech biri mijozning import muloqotida ko'rinmaydi.

Qaror qiling, so'ng nima qaror qilganingizni yozib qo'ying

Bu o'qishdan so'ng uchta natija bor va faqat bittasi import. Oxirgi nuqta va pinlar alohida kanal orqali olingan ko'rsatmalarga mos kelsa, uni import qiling. Oxirgi nuqta to'g'ri ko'rinsa-da pinlar yoki CA mos kelmasa, tuzatilgan fayl so'rang. Fayl turli manbalarning oxirgi nuqtalarini yoki CA materialini aralashtirsa, uni o'chiring va yangi nusxa so'rang.

Ko'rib chiqqan xeshingizni yozib qo'ying, keyingi odam fayl o'zgarganini bilsin: sha256sum profile.ovpn, yozuvlaringizda oxirgi nuqta yoniga yopishtiring. Profil manzillar ro'yxati emas, butun tartib, shuning uchun ishlaydigan remote ni birovning ishonch blokiga ularning hisob ma'lumotlarini saqlab qo'shib hech qachon tiqmang.

Yozuvlarni solishtirayotganda shaxsiy kalitlar va parollarni ekran suratlaridan va chat oqimlaridan uzoqda saqlang. Oxirgi nuqta va maxfiy bo'lmagan parametrlar aniq savol berish uchun yetarli, qolgani esa faylda bo'lishi kerak.

Agar baribir import qilsangiz va birinchi urinish muvaffaqiyatsiz bo'lsa, mijozni --verb 3 bilan ishga tushiring va birinchi o'n satrni o'qing: hal qilingan remote manzili, kelishilgan proto va TLS xatosi shu tartibda chiqadi, bu yuqoridagi tekshiruvlardan qaysinisini o'tkazib yuborganingizni aytadi.