Notanish OVPN fayllari: mahalliy xavf va uzoqdan ishonch

OVPN faylini dasturning kiritmasi deb qarang, uning mazmuni zararsiz degan guvohnoma deb emas. Server manzilini tekshirish faqat profil qayerga ulanishni xohlashini javob beradi, boshqa hech narsani emas. O'sha fayl ichida ishonchning ikkita alohida qarori bor: klient mashinangizda nima qila oladi va qaysi operator trafikni oladi. Tanish protokol nomi ikkalasini ham hal qilmaydi.

Bitta faylda ikkita qaror yashiringan

Birinchi qaror mahalliy. Profil konfiguratsiya tili, va uni o'qiydigan klient plagin yuklaydigan, skript ishga tushiradigan yoki marshrutlash va DNS qanday qo'llanishini o'zgartiradigan ko'rsatmalarni qo'llab-quvvatlashi mumkin. Ikkinchi qaror uzoqdan. Faylda nima bo'lishidan qat'i nazar, chiqish operatori unga yetib keladigan trafikni ko'radi.

Ikkalasini aralashtirish ikkala yo'nalishda ham yomon maslahat beradi: noma'lum operatorning toza ko'rinadigan profili yoki hech kim o'qimagan ilgakli taniqli operator profili. Mahalliy jihatdan xavfsiz profil ham siz tanlamaydigan kishiga trafigingizni berishi mumkin.

Profilni har qanday klientdan oldin o'qing

Faylni har qanday klient ishlashidan oldin matn sifatida o'qing. Fayldan tashqariga ishora qiladigan, bajariladigan fayllarga havola qiladigan yoki imtiyozlarni o'zgartiradigan ko'rsatmalarni qidiring va bu ro'yxatni klientning hujjatlashtirilgan qo'llab-quvvatlashi bilan solishtiring. Qisqa qidiruv xavfsizlik auditi emas, lekin profil serverlar ro'yxatimi yoki undan ko'proq narsa ekanini aytadi.

grep -nE '^(script-security|up|down|plugin|route-up|ipchange)' untrusted.ovpn

Bo'sh natija taskin beradi va qat'iy emas, chunki variantlar bir-biriga ta'sir qilishi yoki kiritilgan fayldan kelishi mumkin. Filtrlangan ro'yxatni o'qishni davom ettirish uchun sabab deb biling, hukm deb emas.

Profil bilan birga keladigan ko'rsatmalar ham profil kabi tekshiruvga loyiq. To'rtta so'rov sizni to'xtatishi kerak: skriptlarni yoqish, yordamchi yoki kutubxona o'rnatish, klientni administrator sifatida ishga tushirish yoki import cheklovini zaiflashtirish. Har biri ishonch chegarasini tashqariga suradi va hech biri serverlar ro'yxatini import qilishning oddiy qismi emas.

Butun faylni bir marta ham o'qing, chunki bitta notanish satrni kontekstda baholash filtrlangan ro'yxatdagidan osonroq. Satr notanish bo'lsa, taxmin qilish o'rniga klientingizning qo'llanmasidan qidiring.

Klient aslida nima ishga tushiradi

Community OpenVPN 2.6 qo'llanmasi script-security bosqichlarini hujjatlashtiradi: 1-daraja standart va foydalanuvchi belgilagan skriptlarni bloklaydi, 2-daraja esa ularga ruxsat beradi. Plaginlarni yuklash o'z ko'rsatmasiga ega alohida mexanizm. Shuning uchun bir xil fayl turli klientlarda turli ma'no anglatishi mumkin. Mobil va ishlab chiqaruvchi klientlari torroq ko'rsatmalar to'plamini yoki ilgaklarning hech birini qabul qilmasligi mumkin.

Ishga tushirish usuli klient kabi muhim. Imtiyozli yordamchi tomonidan ishga tushirilgan profil foydalanuvchi hududida ishga tushirilganidan ko'proq narsa qila oladi, va bu farq import ogohlantirishini e'tiborsiz qoldirish o'rniga o'qishga sabab.

Versiya ham muhim, chunki bu darajalar har bir nashr uchun belgilanadi va bir necha versiya orqada qolgan klient bir xil siyosatni qo'llamasligi mumkin. Siz ishga tushirayotgan buildga mos qo'llanmani o'qing, topilgan eng yangisini emas. Klient hech qayerda versiya satrini ko'rsatmasa, bu o'zi sekinlashishga sabab.

Operatorni solishtiring, faqat manzilni emas

Operatorlarni boshqa har qanday vositachini solishtirganday solishtiring. Chiqishni kim boshqaradi, nimalarni qayd etadi va profil sizga qanday yetib kelganini so'rang. Tasdiqlangan yuklab olish sahifasi va mos barmoq izi tanish xost nomidan ko'proq gapiradi. Yetib boriladigan server faqat nimadir javob berganini isbotlaydi.

Kirish ma'lumotlari odamlar bosim ostida xato qiladigan qism. Server nomi tanish ko'ringani uchun yuklangan profilga aloqasiz hisob parolini yozmang. Profil ochiq holda shaxsiy kalitni ham olib yurishi mumkin, shuning uchun butun faylni ko'rib chiqish mavzusida e'lon qilish o'sha kalitni mavzuga beradi.

To'g'ri tekshirilgan HTTPS sessiyasi hali ham paketlarni uzatuvchi har kimdan sahifa mazmunini yashiradi, shuning uchun chiqish har bir parolni avtomatik ko'rmaydi. Lekin qaysi saytlarga yetib borishingizni ko'radi, va bu chegarani bo'rttirish o'rniga aniq aytish kerak.

Faylning kelib chiqishi noaniq qolsa yoki u so'rayotgan imtiyozning siz qabul qila oladigan izohi bo'lmasa, profilni javobgarlikka tortiladigan manbadan olingan bilan almashtiring. Boshqariladigan ish ulanishida administrator klient va konfiguratsiyani ikkita emas, bitta qaror sifatida tasdiqlashi kerak. Bu yerda hech narsa avval yomon niyatni isbotlashni talab qilmaydi; kirishni rad etish qonuniy javob.