Bí a ṣe lè ṣàyẹ̀wò sáfà fáìlì OpenVPN kí a tó kó wọlé

Ẹnìkan fi fáìlì ránṣẹ́ sí ọ, o kó wọlé, ọgbọ̀n ìṣẹ́jú-àáyá lẹ́yìn ẹ̀rọ kan ń pè àfojúsùn tí ẹnìkan kò ṣàyẹ̀wò. Kọ́kọ́ ka fáìlì nínú olóòtú àkọsílẹ̀, nítorí gbogbo ohun pàtàkì wà nínú ìtọ́nisọ́nà díẹ̀: remote, proto, port, ca, cert, tls-crypt àti verify-x509-name. Gbogbo ohun mìíràn ni àwọn iye àìpinnu, àwọn ìyàlẹ́nú sì ń gbé ibẹ̀.

Ṣe àkójọ gbogbo ibi-ìparí tí fáìlì lè lò

Bẹ̀rẹ̀ pẹ̀lú àwọn ibi-ìparí, nítorí fáìlì kan lè ní ọ̀pọ̀. grep -nE '^[[:space:]]*(remote|proto|port|remote-random|connection)' profile.ovpn ń tẹ́ ẹni tí ó bá yẹ kọ́ọ̀kọ̀ọ̀kan ní ìtòlẹ́sẹẹsẹ fáìlì, pẹ̀lú àwọn tí wọ́n wà nínú àwọn ẹ̀ka <connection> inú ìlà.

Nígbà tí ìtọ́nisọ́nà kan bá fi ibùdó sílẹ̀, ẹ̀rọ náà padà sí iye àìpinnu ti olùgbọ́, nítorí náà remote vpn.example.com nìkan túmọ̀ sí ibùdó 1194 pẹ̀lú proto èyíkéyìí tí ó bá farahàn lẹ́yìn náà nínú fáìlì. Ọ̀pọ̀ àwọn ìlà remote rírọ̀ ni àwọn àyànfúnni: ẹ̀rọ náà ń dán wọn wò ní ìtòlẹ́sẹẹsẹ àyàfi tí remote-random bá dà wọ́n pọ̀, kò sì fi ìdákẹ́jẹ́ẹ́ yí olùgbàlejò oníṣẹ́ mìíràn rọ́pò rẹ̀. Àwọn ìlà remote méjì lórí àwọn agbègbè tí kò ní ìbáṣepọ̀ ni ibi tí o dúró tí o sì béèrè èwo ni a pè ní ọkàn.

Kíyèsí ìkọ̀wé proto pẹ̀lú. A gba tcp gẹ́gẹ́ bí ìtumọ̀ kan náà fún tcp-client ní ẹ̀gbẹ́ ẹ̀rọ, ṣùgbọ́n tcp-server nínú fáìlì ẹ̀rọ jẹ́ àṣìṣe ìṣètò tí ó máa ń há sókè dípò kí ó kùnà dáadáa.

Jẹ́rìí orúkọ, lẹ́yìn náà ibùdó

dig +short vpn.example.com sọ fún ọ bóyá orúkọ náà wà àti àwọn àdírẹ́sì tí ó ń dá padà, ibi-ìparí tí ó ní àwọn àdírẹ́sì púpọ̀ tàbí tí ó wà lẹ́yìn aṣojú lè dá ọ̀pọ̀ padà lọ́nà tọ́. Yíyan orúkọ jẹ́ ipò àkọ́kọ́, kì í ṣe ẹ̀rí ẹ̀tọ́; ẹnikẹ́ni lè tọ́ka orúkọ sí àdírẹ́sì, àdírẹ́sì kan sì lè dáhùn fún ọ̀pọ̀ orúkọ.

Lẹ́yìn náà ṣàyẹ̀wò olùgbọ́ ní ibùdó tí o rí, ní ìbámu pẹ̀lú ìpele gbígbé. Lori TCP, openssl s_client -connect vpn.example.com:1194 -servername vpn.example.com ń tẹ́ ẹ̀wọ̀n tí sáfà náà gbé kalẹ̀. Lori UDP o nílò DTLS: openssl s_client -dtls1_2 -connect vpn.example.com:1194 ń ṣe ìfọwọ́sowọ́pọ̀ kan náà lórí àwọn dátágírámù. Ìfọwọ́sowọ́pọ̀ tí ó parí ń fi hàn pé nnkan kan ń gbọ́ tí ó sì di ìwé-ẹ̀rí mú, èyí tí ó pọ̀ ju ohun tí ping fi hàn àti tí ó kéré ju ohun tí àwọn ètò ìgbẹ́kẹ̀lé fáìlì náà fúnra rẹ̀ béèrè.

Nígbà tí ìfọwọ́sowọ́pọ̀ bá kùnà tí olùgbàlejò sì dáhùn ping, ibùdó náà ṣeé ṣe kí ó ṣàṣìṣe tàbí kí a ti ṣe àyọ̀. Wo èyí gẹ́gẹ́ bí ìdí láti béèrè ibùdó tí ó tọ́, kì í ṣe ìpè láti gbá àwọn tí ó wà nítòsí. nc -vzu pẹ̀lú ń sọ àṣeyọrí lórí àwọn pátákó kan nígbà tí kò sí nnkan tí ń gbọ́, nítorí náà àdánwò UDP lásán kò túmọ̀ sí nnkan láìsí ìfọwọ́sowọ́pọ̀ lẹ́yìn rẹ̀.

Ka àwọn èèkàn ìgbẹ́kẹ̀lé lọ́tọ̀ sí àdírẹ́sì

Àdírẹ́sì ń pinnu ibi tí ẹ̀rọ náà lọ; ẹ̀ka ìgbẹ́kẹ̀lé ń pinnu ẹni tí ó gbà nígbà tí ó dé. verify-x509-name "vpn.example.com" name ń so orúkọ gbogbogbò ti kókó mọ́, remote-cert-tls server sì ń béèrè lílò kọ́kọ́rọ́ tí ó gbòòrò fún ìjẹ́rìí sáfà. Fáìlì tí oníṣẹ́ fún ọ yẹ kí ó gbé méjèèjì.

Wá ca, ẹ̀ka <ca> inú ìlà, àti yálà tls-crypt tàbí tls-auth. Fáìlì tí ó ń lò tls-auth nílò key-direction 1 lórí ẹ̀rọ nígbà tí ẹ̀gbẹ́ sáfà bá ń lò ìtọ́sọ́nà 0, àìbámu sì ń mú ìfọwọ́sowọ́pọ̀ kùnà pẹ̀lú àṣìṣe TLS tí a ń kà bí àbùkù ìwé-ẹ̀rí. CA inú ìlà tí kì í ṣe ti oníṣẹ́ náà tí o ṣẹ̀ṣẹ̀ yan orúkọ rẹ̀ túmọ̀ sí pé a kó fáìlì náà láti orísun méjì, ìyẹn sì ni ipò tí ó yẹ kí a kọ̀ pátápátá.

verify-x509-name ń gba àwọn ipò name, name-prefix tàbí subject, èyí tí ó kẹ́yìn sì ń retí orúkọ ìyàtọ̀ kíkún ní ìtòlẹ́sẹẹsẹ gan-an tí sáfà ń tẹ̀ ẹ́. Yan ipò tí ó bá ìrísí iye náà mu, nítorí pé ẹ̀rọ náà kọ gbogbo ìsopọ̀ dípò kí ó kìlọ̀ nípa ìfẹ́rẹ̀ẹ́ tó súnmọ́. Fún fáìlì tí ìwọ kò kọ, name pẹ̀lú orúkọ olùgbàlejò rírọ̀ ni àyàn tí kò yani lẹ́nu jù.

Ṣàyẹ̀wò àwọn àyàn tí ń kùnà ní ìdákẹ́jẹ́ẹ̀

OpenVPN 2.6 ń ìdúnàádúrà lórí àwọn ìkọ̀kọ̀ nípasẹ̀ data-ciphers, fáìlì tí ó gbé ìlà cipher AES-256-CBC àtijọ́ nìkan sì lè parí ọ̀nà ìṣàkóso kí ó sì dúró lórí dátà. Kíkà iye yẹn sọ fún ọ bóyá fáìlì náà ti dàgbà ju sáfà tí o ń darapọ̀ mọ́ lọ; ojú-ìwé ìtọ́sọ́nà ti 2.6 ṣe àkójọ ìtòlẹ́sẹẹsẹ ìdúnàádúrà bí o bá nílò láti tọ́ka rẹ̀ fún oníṣẹ́.

auth-user-pass láìsí orúkọ fáìlì túmọ̀ sí pé ẹ̀rọ náà yóò béèrè, nítorí náà fáìlì tí ó dàbí ẹni tí ó pé nínú ara rẹ̀ ṣì nílò àwọn ẹ̀rí ìwọlé. auth-user-pass credentials.txt túmọ̀ sí pé ó ń retí fáìlì tí ó ṣeé ṣe kí a kò rán sí ọ. nobind àti resolv-retry infinite jẹ́ àṣà àti aláìléwu, nígbà tí explicit-exit-notify wà fún UDP nìkan tí kò sì ní ìtumọ̀ lórí TCP.

Kò sí ọ̀kan nínú ìwọ̀nyí tí ó yí ibi tí fáìlì náà so mọ́, ṣùgbọ́n ọ̀kọ̀ọ̀kan yí bóyá ó so mọ́ rárá, kò sì sí ọ̀kan tí ó farahàn nínú àpèjúwe ìwọlé ẹ̀rọ náà.

Pinnu, lẹ́yìn náà kọ ohun tí o pinnu

Lẹ́yìn kíkà yìí àwọn àbájáde mẹ́ta wà, ọ̀kan nìkan sì ni ìwọlé. Nígbà tí ibi-ìparí àti àwọn èèkàn bá bá àwọn ìtọ́nisọ́nà tí o gbà nípasẹ̀ ọ̀nà mìíràn mu, kó o wọlé. Nígbà tí ibi-ìparí bá dàbí ẹni tí ó tọ́ ṣùgbọ́n àwọn èèkàn tàbí CA kò bá mu, béèrè fáìlì tí a tún ṣe. Nígbà tí fáìlì bá dà àwọn ibi-ìparí tàbí ohun elò CA láti orísun ọ̀tọ̀ọ̀tọ̀ pọ̀, pa á rẹ́ kí o sì béèrè ẹ̀dà tuntun.

Kọ hash tí o ṣàyẹ̀wò, kí ẹni tí ó kàn lè mọ̀ bóyá fáìlì náà ti yí padà: sha256sum profile.ovpn, tí a lẹ̀ mọ́ ẹ̀gbẹ́ ibi-ìparí nínú àwọn àkọsílẹ̀ rẹ. Fáìlì jẹ́ ìṣètò kíkún, kì í ṣe àkójọ àdírẹ́sì, nítorí náà má ṣe fi remote tí ń ṣiṣẹ́ sínú ẹ̀ka ìgbẹ́kẹ̀lé ẹlòmíràn nígbà tí o ń pa àwọn ẹ̀rí ìwọlé wọn mọ́.

Pa àwọn kọ́kọ́rọ́ àdáni àti ọ̀rọ̀ ìpamọ́ mọ́ kúrò nínú àwọn àwòrán ojú-ìtẹ́ àti àwọn ìlà ìbánisọ̀rọ̀ nígbà tí o ń fi àwọn àkọsílẹ̀ wé. Ibi-ìparí àti àwọn àyàn tí kì í ṣe ìkọ̀kọ̀ tó láti béèrè ìbéèrè tí ó péye, ìyókù sì wà nínú fáìlì.

Bí o bá kó o wọlé tí ìgbìyànjú àkọ́kọ́ sì kùnà, ṣe ẹ̀rọ náà pẹ̀lú --verb 3 kí o sì ka ìlà mẹ́wàá àkọ́kọ́: àdírẹ́sì remote tí a yan, proto tí a dúnàádúrà lé lórí àti àṣìṣe TLS ń farahàn ní ìtòlẹ́sẹẹsẹ yẹn, èyí tí ó sọ fún ọ ìṣàyẹ̀wò wo nínú àwọn tí ó wà lókè tí o fò.