OpenVPN, इस शब्द में कितना। एक बहु-मंच, लचीले रूप से विन्यास योग्य, मुक्त खुला स्रोत वीपीएन सर्वर, जो वास्तव में आंतरिक कॉर्पोरेट नेटवर्क तक पहुंच को व्यवस्थित करने के लिए डिफैक्टो मानक है। अधिकांश व्यवस्थापक इसे डिफ़ॉल्ट सेटिंग्स के साथ या विशिष्ट कॉन्फ़िगरेशन के साथ उपयोग करते हैं जो व्यापक रूप से अलग-अलग HOW-TOs में वर्णित हैं। लेकिन OpenVPN इतना सरल है क्योंकि यह पहली नज़र में लगता है? इस लेख में, हम ओपनवीपीएन के आंतरिक तंत्र पर विचार करेंगे, जो आंखों से छिपा हुआ है, जो मौलिक रूप से अपनी क्षमताओं के विचार को बदलता है।

OpenVPN सर्वर को विभिन्न ऑपरेटिंग सिस्टम के लिए सोर्स कोड या रेडी-टू-इंस्टॉल संकलित पैकेज के रूप में वितरित किया जाता है। OpenSSL का उपयोग एन्क्रिप्शन प्रदान करने वाले पुस्तकालय के रूप में किया जाता है।

क्लाइंट को सर्वर से जोड़ने के लिए अधिकांश कॉन्फ़िगरेशन, साथ ही सर्वर के बीच, आंतरिक ट्रैफ़िक की सुरक्षा सुनिश्चित करने के लिए निजी या निजी / सार्वजनिक कुंजियों के एक गुच्छा का उपयोग करना शामिल है। मल्टीपॉइंट-टू-सिंगलपॉइंट मोड में कॉर्पोरेट नेटवर्क के लिए, एक पीकेआई प्रमाणन प्राधिकरण आमतौर पर उपयोग किया जाता है, जो कि आसान- आरएएसए या एक्ससीए- आधारित का उपयोग करके निर्माण करना आसान है । पॉइंट-टू-पॉइंट इंटर-सर्वर संचार के लिए, एक साझा-कुंजी कॉन्फ़िगरेशन मुख्य रूप से उपयोग किया जाता है। बुनियादी, प्रसिद्ध तंत्र और क्षमताओं को याद करें।

प्रमुख तंत्र और क्षमताएं

• प्रमाण पत्र प्रमाणीकरण

  
  

  इसके बारे में भारी मात्रा में प्रलेखन लिखा गया है। बात सरल है। प्रमाणपत्र प्राधिकारी बनाया जा रहा है जो उपयोगकर्ता प्रमाणपत्र जारी करता है। प्रमाणन प्राधिकरण की मदद से उपयोगकर्ताओं को ओपन वीपीएन सर्वर से जोड़ने के लिए नियंत्रण प्रदान किया जाता है। जब प्रमाणपत्र समाप्त हो जाता है या निरस्त हो जाता है, तो उपयोगकर्ता की पहुंच अवरुद्ध हो जाती है। प्रमाण पत्र के साथ संयोजन में जारी किए गए पासवर्ड के साथ निजी कुंजी, आंतरिक संसाधनों के लिए अनधिकृत कनेक्शन के खिलाफ सुरक्षा प्रदान करती है।

  
  

• निजी बिंदु से बिंदु कुंजी

  
  

  केवल एक उपयोगकर्ता / सर्वर को कंपनी संसाधनों से जोड़ने के संदर्भ में, निजी कुंजी के साथ एक योजना का उपयोग किया जाता है। मेजबानों में से एक पर एक कुंजी उत्पन्न होती है, जिसे सर्वर और क्लाइंट के बीच साझा किया जाता है।

  
  

क्लाइंट और सर्वर के बीच "हैंडशेक" हैंडशेक की सुरक्षा के लिए कनेक्शन के सभी मामलों में डिफी-हेलमैन प्रोटोकॉल का उपयोग किया जाता है।

• बाहरी उपयोगकर्ता प्रमाणीकरण

  
  

  उपयोगकर्ता कनेक्शन पर नियंत्रण को सरल बनाने के लिए, अपने स्वयं के PKI के साथ योजना के बजाय, आप लॉगिन / पासवर्ड द्वारा बाहरी उपयोगकर्ता प्रमाणीकरण के साथ एक योजना का उपयोग कर सकते हैं । डोमेन लॉगिन / पासवर्ड द्वारा उपयोगकर्ताओं को प्रमाणित करने के लिए यह योजना सुविधाजनक है। सर्वर से कनेक्ट करने के लिए, क्लाइंट सर्टिफिकेट फाइल में सर्वर सर्टिफिकेट और हार्डनिंग ओपेंविपी सिक्योरिटी पैकेट साइनिंग कीज को जोड़ा जाता है।
  ग्राहक विन्यास उदाहरण

  
  

  dev tun proto udp #  IP  OpenVPN remote 172.16.111.166 # Port  port 1200 client resolv-retry infinite tls-client key-direction 1 auth SHA1 cipher BF-CBC #comp-lzo persist-key persist-tun # auth-user-pass c:/temp/pass.txt # # just create a file with name pass.txt # and put to it two lines # ------------- #username #password # ------------- #auth-user-pass verb 3 <ca> -----BEGIN CERTIFICATE----- MIIE5jCCA86gAwIBAgIJAOt3kFH7PxA0MA0GCSqGSIb3DQEBCwUAMIGjMQswCQYD .... -----END CERTIFICATE----- </ca> <tls-auth> -----BEGIN OpenVPN Static key V1----- 83ddd29fa82212f3059d85a41490134c .... a4f2c7df3a22364a49093bca102dedeb -----END OpenVPN Static key V1----- </tls-auth> 

  
  

  फ़ाइल के माध्यम से क्लाइंट प्रमाणीकरण के लिए सर्वर का एक हिस्सा
  वैकल्पिक प्रमाणीकरण विधियों का उपयोग करना

  
  

   verify-client-cert none #client-cert-not-required username-as-common-name tls-server tls-auth /usr/local/etc/openvpn/ssl/tlsauth.key key-direction 0 tls-timeout 120 auth SHA1 cipher BF-CBC auth-user-pass-verify /usr/local/etc/openvpn/auth/auth-static-file.pl via-file 

  
  

  यह योजना सुविधाजनक है, लेकिन बहुत असुरक्षित है।

  
  

• पीएएम

  
  

  सुरक्षा बढ़ाने के लिए, आप प्लग-इन का उपयोग कर सकते हैं जो बाहरी प्रणालियों में लॉगिन / पासवर्ड सत्यापन प्रदान करते हैं। सबसे आम तरीका सिस्टम PAM (प्लगगेज ऑथेंटिकेशन मॉड्यूल्स) है।
  OpenVPN कॉन्फ़िगरेशन फ़ाइल में लाइन जोड़ें

  
  

   plugin /usr/share/openvpn/plugin/lib/openvpn-auth-pam.so login 

  
  

• मार्ग

  
  

  क्योंकि सर्वर का मुख्य कार्य दूरस्थ उपयोगकर्ताओं / सर्वर को आंतरिक संसाधनों तक पहुंच प्रदान करना है, सर्वर आपको क्लाइंट से सर्वर तक और सर्वर से क्लाइंट तक स्थिर मार्ग निर्धारित करने की अनुमति देता है। आंतरिक संसाधनों तक क्लाइंट की पहुंच के दृष्टिकोण से, डीएचसीपी और निर्देशों "रूट" या "पुश रूट" का उपयोग करने वाला सर्वर आपको क्लाइंट के लिए आंतरिक नेटवर्क मार्गों को स्थानांतरित करने की अनुमति देता है। क्लाइंट की ओर से दूरस्थ नेटवर्क के बारे में सर्वर को सूचित करने के लिए, "क्लाइंट कॉन्फिगर डीआईआर" (सीसीडी) का उपयोग किया जाता है, एक ऐसा तंत्र जो क्लाइंट आंतरिक नेटवर्क की सूची का वर्णन करने के लिए "इराउट" निर्देश का उपयोग करने की अनुमति देता है जो उन्हें ट्रैफ़िक को स्थानांतरित करने के लिए सर्वर रूटिंग तालिका में होना चाहिए।

  
  

इस "नियमित" पर व्यापक रूप से उपयोग की जाने वाली सुविधाएँ समाप्त होती हैं और प्रत्येक विशिष्ट मामले के लिए स्थानीय अनुकूलन शुरू होता है।

अतिरिक्त OpenVPN सुविधाएँ

OpenVPN की अतिरिक्त विशेषताओं पर विचार करें, जो किसी ने सुना हो सकता है, लेकिन वास्तव में देखा या उपयोग नहीं किया गया है।

• नेटवर्क सुरक्षा / पैकेट फ़िल्टरिंग

  
  

  क्योंकि ओपनवीपीएन मार्ग यातायात, इसमें ऑपरेशन के दो नियमित रूप से अनन्य अनन्य मोड हैं। पहला मोड ओपनवीपीएन सर्वर के अंदर रूटिंग है, दूसरा मोड इंटर-इंटरफ़ेस न्यूक्लियर रूटिंग है। पहले मामले में, OpenVPN क्लाइंट / नेटवर्क के बीच पैकेट को स्विच और फ़िल्टर करने के लिए जिम्मेदार है, दूसरे मामले में, होस्ट (pf, iptables, आदि) पर समर्थित कोई भी सिस्टम पैकेट फ़िल्टर।
  कुछ लोगों को पता है कि ओपनवीपीएन में एक अंतर्निहित पैकेट फ़िल्टर है जो आपको उपयोगकर्ताओं और नेटवर्क के बीच कनेक्शन को अनुमति देने या अलग करने की अनुमति देता है।
  हाँ, हाँ। आप इसे सही पढ़ें। OpenVPN का अपना बिल्ट-इन पैकेट फ़िल्टर है। यातायात को फिल्टर करने की क्षमता को 2010 में वापस लागू किया गया था।
  OpenVPN पैकेट फ़िल्टर या तो प्रबंधन-इंटरफ़ेस के माध्यम से या OpenVPN से जुड़े प्लग-इन के माध्यम से नियंत्रित किया जाता है ।
  ट्रैफ़िक नियमों को एक फ़ाइल के माध्यम से प्रबंधित किया जाता है। फ़ाइल प्रारूप सरल है।

  
  

   [CLIENTS DROP|ACCEPT] {+|-}common_name1 {+|-}common_name2 . . . [SUBNETS DROP|ACCEPT] {+|-}subnet1 {+|-}subnet2 . . . [END] 

  
  

  ब्लॉक निर्देशों (ACCEPT / DENY) ने ब्लॉक के अंदर निर्दिष्ट नहीं किए गए सभी ग्राहकों के लिए डिफ़ॉल्ट कार्रवाई निर्धारित की है।
  उदाहरण के लिए, क्लाइंट user2 के लिए फ़ाइल

  
  

   [CLIENTS DROP] +user1 [SUBNETS DROP] [END] 

  
  

  सभी उपयोगकर्ताओं और नेटवर्कों को ट्रैफ़िक रोक देगा, लेकिन क्लाइंट 1 पक्ष को ट्रैफ़िक की अनुमति देगा। यदि user1 स्पष्ट रूप से user2 को ट्रैफ़िक स्थानांतरित करने की अनुमति का वर्णन नहीं करता है, तो ट्रैफ़िक केवल एक दिशा user2-> user1 में जाएगा।

  
  

या दूसरा उदाहरण।
स्थानीय नेटवर्क पर स्थित उपयोगकर्ताओं और DNS सर्वर और नेटवर्क 192.168.0.0/24 पर परीक्षण सर्किट के बीच पहुंच को छोड़कर सब कुछ अक्षम करें

 [CLIENTS DROP] +user1 +user2 [SUBNETS DROP] +10.150.0.1 +10.150.1.1 +192.168.0.0/24 [END] 

फ़िल्टरिंग तंत्र कॉन्फ़िगरेशन फ़ाइल के माध्यम से सक्रिय होता है, या उस प्लगइन को कनेक्ट करते समय जो "झंडा" को "OPENVPN_PLUGIN_ENABLE_PF" सेट करता है।
हम इस अवसर पर बाद में चर्चा करेंगे।
ट्रैफ़िक फ़िल्टरिंग का दूसरा मोड सिस्टम में निर्मित पैकेट फ़िल्टर है। इसे सक्रिय करने के लिए, कॉन्फ़िगरेशन में "क्लाइंट-टू-क्लाइंट" निर्देश नहीं होना चाहिए। क्लाइंट्स को कनेक्ट / डिस्कनेक्ट करते समय आवश्यक नियमों के ऑन / ऑफ को स्वचालित करने के दृष्टिकोण से, अलग-अलग आवेषण को नियमों की सूची में उपयोग करना सबसे सुविधाजनक है, या तो Iptables (लिनक्स) में CHAINS के माध्यम से या PF (FreeBSD) में एंकर के माध्यम से लागू किया जाता है। नियमों का सक्रियण / निष्क्रियकरण आमतौर पर सर्वर कॉन्फ़िगरेशन फ़ाइल में क्लाइंट-कनेक्ट / क्लाइंट-डिस्कनेक्ट निर्देशों के माध्यम से किया जाता है, जो उपयोगकर्ता को कनेक्ट / डिस्कनेक्ट करने पर संबंधित स्क्रिप्ट को कॉल करते हैं।

• उन्नत PAM प्रमाणीकरण

  
  

  विस्तारित PAM प्रमाणीकरण का अर्थ है उपयोगकर्ता लॉगिन और पासवर्ड सत्यापन के तर्क को बदलना। यह ओपनवीपीएन के लिए उपयुक्त प्लग-इन स्थापित करके प्राप्त किया जाता है, जो बाहरी स्रोतों में डेटा को पढ़ने और सत्यापन प्रदान करते हैं, या किसी भी तर्क को स्क्रिप्ट करने के लिए सिस्टम से पुस्तकालयों को जोड़ते हैं। ऐसी लाइब्रेरी में से एक pam_python है , जो पायथन स्क्रिप्ट के माध्यम से किसी भी लॉगिन / पासवर्ड सत्यापन तर्क को स्क्रिप्ट करने में मदद करती है।
  यदि इसका उपयोग किया जाता है, तो उपयोगकर्ता सत्यापन स्ट्रिंग में निम्नानुसार परिवर्तन होता है।

  
  

   plugin openvpn-plugin-auth-pam.so pam_python login USERNAME password PASSWORD domain mydomain.com 

  
  

  चूंकि PAM के "हुड के नीचे" उपयोगकर्ता या बाहरी पुस्तकालयों के साथ सिस्टम के संवाद एल्गोरिदम हैं, इन संवादों को नियंत्रित किया जा सकता है। उदाहरण के लिए, OTP टोकन को सिस्टम से कनेक्ट करें । LinOTP लाइब्रेरी को केवल एक उदाहरण के रूप में लिया जाता है, क्योंकि मैंने कहीं somewhere \ _ ( ¯ ) / somewhere के परीक्षण के दौरान अपना स्वयं का लिखा पुस्तकालय खो दिया
  इसके अलावा, उदाहरणों को "pam_python" शब्द से आसानी से जाना जाता है।
  बाहरी पीएएम मॉड्यूल के साथ काम करते समय मुख्य समस्या ओपन वीपीएन सत्र पर्यावरण को पायथन या किसी अन्य स्क्रिप्ट को सिस्टम पैम के माध्यम से प्राप्त करने में असमर्थता है। यानी स्क्रिप्ट लॉगिन / पासवर्ड की जाँच के लिए केवल उन्हीं कार्यों को प्रदान करता है जो उसे सौंपे जाते हैं।

  
  

• आस्थगित प्रमाणीकरण

  
  

  OpenVPN सर्वर तथाकथित "विलंबित" प्रमाणीकरण का समर्थन करता है। "विलंबित" प्रमाणीकरण का उपयोग उन मामलों में किया जाता है जब प्रमाणीकरण सेवा वास्तविक समय में लॉगिन / पासवर्ड सत्यापन अनुरोध को सेवा नहीं दे सकती है।

  
  

• OpenVPN प्लगइन्स

  
  

  यह एक अलग समानांतर ब्रह्मांड है, जिसके बारे में यह जाना जा सकता है, लेकिन कुछ भ्रम के कारण, वे उपयोग करने में सक्षम नहीं हैं या डरते हैं। वास्तव में, ओपनवीपीएन के लिए एक कार्यात्मक प्लग-इन लिखने से सी में प्रोग्रामिंग की आवश्यकता होती है जो कि इसका अर्थ है। सरल प्लगइन्स के उदाहरण ओपनवीपीएन स्रोत पेड़ में शामिल हैं, या उदाहरण के लिए, ओपनवीपीएन से विधि कॉलों को प्रदर्शित करने के लिए एक प्लगइन है ।

  
  

आइए जानने की कोशिश करते हैं कि ओपनवीपीएन से प्लगइन्स कैसे काम करते हैं।
प्लगइन्स के साथ काम करने के लिए उपयोग किए जाने वाले फ़ंक्शंस और पैरामीटर एक अलग फ़ाइल में वर्णित हैं
प्लगइन का मुख्य कार्य, जब यह ओपनवीपीएन सर्वर द्वारा आरंभीकृत किया जाता है, तो प्लगइन द्वारा समर्थित कार्यों की सूची को स्थानांतरित करना है और किसी भी फ़ंक्शन को कॉल करते समय, सही प्रतिक्रिया कोड लौटाएं, जिसे सर्वर द्वारा समझा जाएगा।

 #define OPENVPN_PLUGIN_FUNC_SUCCESS 0 #define OPENVPN_PLUGIN_FUNC_ERROR 1 #define OPENVPN_PLUGIN_FUNC_DEFERRED 2 

आइए हम प्रत्येक समूह पर और अधिक विस्तार से ध्यान दें। हम उपयोगकर्ता के पासवर्ड प्रमाणीकरण के आधार पर काम के तर्क पर विचार करेंगे।
जब सर्वर शुरू होता है, कॉन्फ़िगरेशन फ़ाइल पढ़ने के बाद, सर्वर OPENVPN_PLUGIN_UP और OPENVPN_PLUGIN_ROUTE_UP फ़ंक्शन को कॉल करता है। बुलाया कार्यों के चर वातावरण में, चल रहे सर्वर के मुख्य मापदंडों को स्थानांतरित किया जाता है।

 OPENVPN_PLUGIN_UP { "route_netmask_1":"255.255.0.0", "daemon_start_time":"1545994898", "ifconfig_remote":"10.150.0.2", "local_1":"172.16.100.139", "script_context":"init", "config":"/usr/local/etc/openvpn/server150.conf", "link_mtu":"1622", "ifconfig_local":"10.150.0.1", "tun_mtu":"1500", "verb":"2", "daemon_pid":"626", "route_vpn_gateway":"10.150.0.2", "proto_1":"udp", "daemon_log_redirect":"1", "daemon":"1", "route_net_gateway":"172.16.100.1", "dev_type":"tun", "route_gateway_1":"10.150.0.2", "remote_port_1":"1200", "dev":"tun150", "pluginid":"0", "local_port_1":"1200", "route_network_1":"10.150.0.0" } 

 OPENVPN_PLUGIN_ROUTE_UP { "route_netmask_1":"255.255.0.0", "daemon_start_time":"1545994898", "redirect_gateway":"0", "ifconfig_remote":"10.150.0.2", "local_1":"172.16.100.139", "script_context":"init", "config":"/usr/local/etc/openvpn/server150.conf", "link_mtu":"1622", "ifconfig_local":"10.150.0.1", "tun_mtu":"1500", "verb":"2", "daemon_pid":"626", "route_vpn_gateway":"10.150.0.2", "proto_1":"udp", "daemon_log_redirect":"1", "daemon":"1", "route_net_gateway":"172.16.100.1", "dev_type":"tun", "route_gateway_1":"10.150.0.2", "remote_port_1":"1200", "dev":"tun150", "pluginid":"2", "local_port_1":"1200", "route_network_1":"10.150.0.0" } 

इन कार्यों का उपयोग सर्वर स्टार्टअप या कॉन्फ़िगरेशन परिवर्तन पर अलर्ट के लिए किया जा सकता है।
क्लाइंट को कनेक्ट करते समय, OpenVPN एक आंतरिक पैकेट फ़िल्टर को सक्रिय करने की क्षमता का अनुरोध करता है।

 OPENVPN_PLUGIN_ENABLE_PF { "route_netmask_1":"255.255.0.0", "daemon_start_time":"1545994898", "redirect_gateway":"0", "ifconfig_remote":"10.150.0.2", "local_1":"172.16.100.139", "script_context":"init", "config":"/usr/local/etc/openvpn/server150.conf", "link_mtu":"1622", "pf_file":"/tmp/openvpn_pf_b7a18ca8fac838679ca87ada6b8a356.tmp", "ifconfig_local":"10.150.0.1", "tun_mtu":"1500", "verb":"2", "daemon_pid":"626", "route_vpn_gateway":"10.150.0.2", "proto_1":"udp", "route_net_gateway":"172.16.100.1", "daemon":"1", "daemon_log_redirect":"1", "dev_type":"tun", "route_gateway_1":"10.150.0.2", "remote_port_1":"1200", "dev":"tun150", "pluginid":"11", "local_port_1":"1200", "route_network_1":"10.150.0.0" } 

जैसा कि आप डंप से देख सकते हैं, pf_file वैरिएबल दिखाई दिया। इस फ़ाइल में वर्तमान सत्र के लिए आंतरिक पैकेट फ़िल्टर के नियम शामिल होने चाहिए।
अगला, उपयोगकर्ता का उपयोगकर्ता नाम और पासवर्ड OPENVPN_PLUGIN_AUTH_USER_PASS_VERIFY फ़ंक्शन में चेक किया गया है

 OPENVPN_PLUGIN_AUTH_USER_PASS_VERIFY { "route_netmask_1":"255.255.0.0", "route_gateway_1":"10.150.0.2", "IV_NCP":"2", "IV_COMP_STUB":"1", "daemon_start_time":"1545994898", "IV_LZ4":"1", "redirect_gateway":"0", "ifconfig_remote":"10.150.0.2", "untrusted_port":"1200", "IV_LZ4v2":"1", "local_1":"172.16.100.139", "script_context":"init", "untrusted_ip":"172.16.111.168", "config":"/usr/local/etc/openvpn/server150.conf", "username":"fa56bf61-90da-11e8-bf33-005056a12a82-1234568", "link_mtu":"1622", "pf_file":"/tmp/openvpn_pf_b7a18ca8fac838679ca87ada6b8a356.tmp", "ifconfig_local":"10.150.0.1", "tun_mtu":"1500", "auth_control_file":"/tmp/openvpn_acf_a3d0650a43b88ca1b5f305ce2c8f682.tmp", "daemon":"1", "IV_COMP_STUBv2":"1", "verb":"2", "IV_PLAT":"win", "daemon_pid":"626", "password":"12312312312312", "route_vpn_gateway":"10.150.0.2", "proto_1":"udp", "route_net_gateway":"172.16.100.1", "IV_PROTO":"2", "daemon_log_redirect":"1", "dev_type":"tun", "IV_VER":"2.4.3", "IV_LZO":"1", "remote_port_1":"1200", "dev":"tun150", "pluginid":"5", "local_port_1":"1200", "IV_TCPNL":"1", "route_network_1":"10.150.0.0" } 

यह एकमात्र स्थान है जहां चर वातावरण में पासवर्ड स्पष्ट में मौजूद है।
इस फ़ंक्शन का परिणाम तीन संभावित उत्तर होना चाहिए।

 #define OPENVPN_PLUGIN_FUNC_SUCCESS 0 #define OPENVPN_PLUGIN_FUNC_ERROR 1 #define OPENVPN_PLUGIN_FUNC_DEFERRED 2 

यदि सर्वर को एक जवाब OPENVPN_PLUGIN_FUNC_DEFERRED प्राप्त होता है, तो "विलंबित" प्रमाणीकरण का तंत्र काम में आता है। जैसा कि हम देखते हैं, चर "dif_control_file" चर वातावरण में दिखाई देता है, इस चर की सामग्री में फ़ाइल का नाम होता है जिसमें प्रमाणीकरण प्रणाली से प्रतिक्रिया की उम्मीद की जाएगी। उत्तर निर्दिष्ट फ़ाइल में रखा गया प्रतीक 0 (एक्सेस की अनुमति देने के लिए), 1 (एक्सेस से इनकार करने के लिए) है। सर्वर पैरामीटर "हैंड-विंडो" सेकंड में टाइमआउट निर्धारित करता है, जिसके दौरान सर्वर प्रतिक्रिया की प्रतीक्षा करेगा। प्रतीक्षा करते समय, अन्य ग्राहकों से यातायात बाधित नहीं होता है।

चूंकि हम पासवर्ड प्रमाणीकरण के साथ काम करते हैं, इसलिए प्रमाणपत्र सत्यापन फ़ंक्शन OPENVPN_PLUGIN_TLS_VERIFY नहीं कहा जाता है। इसके बजाय, सत्र की स्थापना की पुष्टि करते हुए OPENVPN_PLUGIN_TLS_FINAL को तुरंत बुलाया जाता है।

 OPENVPN_PLUGIN_TLS_FINAL { "route_netmask_1":"255.255.0.0", "route_gateway_1":"10.150.0.2", "IV_NCP":"2", "IV_COMP_STUB":"1", "daemon_start_time":"1545994898", "IV_LZ4":"1", "redirect_gateway":"0", "ifconfig_remote":"10.150.0.2", "untrusted_port":"1200", "IV_LZ4v2":"1", "local_1":"172.16.100.139", "script_context":"init", "untrusted_ip":"172.16.111.168", "config":"/usr/local/etc/openvpn/server150.conf", "username":"fa56bf61-90da-11e8-bf33-005056a12a82-1234568", "link_mtu":"1622", "pf_file":"/tmp/openvpn_pf_b7a18ca8fac838679ca87ada6b8a356.tmp", "ifconfig_local":"10.150.0.1", "tun_mtu":"1500", "auth_control_file":"/tmp/openvpn_acf_a3d0650a43b88ca1b5f305ce2c8f682.tmp", "daemon":"1", "IV_COMP_STUBv2":"1", "verb":"2", "IV_PLAT":"win", "daemon_pid":"626", "route_vpn_gateway":"10.150.0.2", "proto_1":"udp", "route_net_gateway":"172.16.100.1", "IV_PROTO":"2", "daemon_log_redirect":"1", "dev_type":"tun", "IV_VER":"2.4.3", "IV_LZO":"1", "remote_port_1":"1200", "dev":"tun150", "pluginid":"10", "local_port_1":"1200", "IV_TCPNL":"1", "route_network_1":"10.150.0.0" } 

इसके बाद, OPENVPN_PLUGIN_IPCHANGE को कॉल किया जाता है, जिसे क्लाइंट का आईपी पता बदलने से पहले कॉल किया जाता है।

 OPENVPN_PLUGIN_IPCHANGE { "route_netmask_1":"255.255.0.0", "route_gateway_1":"10.150.0.2", "trusted_ip":"172.16.111.168", "link_mtu":"1622", "IV_COMP_STUB":"1", "daemon_start_time":"1547319280", "IV_LZ4":"1", "redirect_gateway":"0", "common_name":"fa56bf61-90da-11e8-bf33-005056a12a82-1234568", "ifconfig_remote":"10.150.0.2", "IV_NCP":"2", "untrusted_port":"1200", "IV_LZ4v2":"1", "local_1":"172.16.100.139", "script_context":"init", "untrusted_ip":"172.16.111.168", "config":"/usr/local/etc/openvpn/server150.conf", "username":"fa56bf61-90da-11e8-bf33-005056a12a82-1234568", "trusted_port":"1200", "pf_file":"/tmp/openvpn_pf_4fcad505693b33f97c4fe105df8681cb.tmp", "ifconfig_local":"10.150.0.1", "tun_mtu":"1500", "auth_control_file":"/tmp/openvpn_acf_321bb12075dc0e1b5440d227220bac5d.tmp", "daemon":"1", "IV_COMP_STUBv2":"1", "verb":"3", "IV_PLAT":"win", "daemon_pid":"52435", "route_vpn_gateway":"10.150.0.2", "proto_1":"udp", "route_net_gateway":"172.16.100.1", "IV_PROTO":"2", "daemon_log_redirect":"1", "dev_type":"tun", "IV_VER":"2.4.3", "IV_LZO":"1", "remote_port_1":"1200", "dev":"tun150", "pluginid":"3", "local_port_1":"1200", "IV_TCPNL":"1", "route_network_1":"10.150.0.0" } 

IPEN आंतरिक DHCP सर्वर द्वारा निर्धारित किए जाने पर OPENVPN_PLUGIN_CLIENT_CONNECT_V2 फ़ंक्शन को कहा जाता है।

 OPENVPN_PLUGIN_CLIENT_CONNECT_V2 { "route_netmask_1":"255.255.0.0", "route_gateway_1":"10.150.0.2", "trusted_ip":"172.16.111.168", "link_mtu":"1622", "IV_COMP_STUB":"1", "daemon_start_time":"1547319280", "IV_LZ4":"1", "dev":"tun150", "common_name":"fa56bf61-90da-11e8-bf33-005056a12a82-1234568", "time_ascii":"Sat Jan 12 18:54:48 2019", "ifconfig_remote":"10.150.0.2", "IV_NCP":"2", "untrusted_port":"1200", "IV_LZ4v2":"1", "local_1":"172.16.100.139", "script_context":"init", "untrusted_ip":"172.16.111.168", "config":"/usr/local/etc/openvpn/server150.conf", "username":"fa56bf61-90da-11e8-bf33-005056a12a82-1234568", "trusted_port":"1200", "pf_file":"/tmp/openvpn_pf_4fcad505693b33f97c4fe105df8681cb.tmp", "ifconfig_local":"10.150.0.1", "tun_mtu":"1500", "auth_control_file":"/tmp/openvpn_acf_321bb12075dc0e1b5440d227220bac5d.tmp", "daemon":"1", "IV_COMP_STUBv2":"1", "verb":"3", "IV_PLAT":"win", "daemon_pid":"52435", "time_unix":"1547319288", "redirect_gateway":"0", "route_vpn_gateway":"10.150.0.2", "proto_1":"udp", "route_net_gateway":"172.16.100.1", "IV_PROTO":"2", "daemon_log_redirect":"1", "dev_type":"tun", "IV_VER":"2.4.3", "IV_LZO":"1", "remote_port_1":"1200", "ifconfig_pool_local_ip":"10.150.0.5", "pluginid":"9", "ifconfig_pool_remote_ip":"10.150.0.6", "local_port_1":"1200", "IV_TCPNL":"1", "route_network_1":"10.150.0.0" } 

एक चर वातावरण में, चर "" ifconfig_pool_local_ip "और" ifconfig_pool_remote_ip "सुरंग मापदंडों से युक्त होते हैं।

OPENVPN_PLUGIN_LEARN_ADDRESS फ़ंक्शन को उस समय कहा जाता है जब OpenVPN सर्वर IP पते और उनके लिए मार्गों का कनेक्शन सीखता है। इस फ़ंक्शन से बाहर निकलने के बाद, फ़ाइल से पैकेट फ़िल्टर सेटिंग्स को लागू करने की प्रक्रिया सक्रिय हो जाती है। इस मामले में पर्यावरण चर OPENVPN_PLUGIN_LEARN_ADDRESS चरण OPENVPN_PLUGIN_CLIENT_CONNECT_V2 से मेल खाती है।

 fa56bf61-.../172.16.111.168:1200 ----- pf_check_reload : struct pf_context ----- fa56bf61-.../172.16.111.168:1200 enabled=1 fa56bf61-.../172.16.111.168:1200 filename='/tmp/openvpn_pf_343330698e4acdea34c8a8c7fb87d861.tmp' fa56bf61-.../172.16.111.168:1200 file_last_mod=1547319124 fa56bf61-.../172.16.111.168:1200 n_check_reload=1 fa56bf61-.../172.16.111.168:1200 reload=[1,15,1547319125] fa56bf61-.../172.16.111.168:1200 ----- struct pf_set ----- fa56bf61-.../172.16.111.168:1200 kill=0 fa56bf61-.../172.16.111.168:1200 ----- struct pf_subnet_set ----- fa56bf61-.../172.16.111.168:1200 default_allow=ACCEPT fa56bf61-.../172.16.111.168:1200 ----- struct pf_cn_set ----- fa56bf61-.../172.16.111.168:1200 default_allow=DROP fa56bf61-.../172.16.111.168:1200 12345678-90da-11e8-bf33-005056a12a82-1234567 ACCEPT fa56bf61-.../172.16.111.168:1200 fa56bf61-90da-11e8-bf33-005056a12a82-1234567 ACCEPT fa56bf61-.../172.16.111.168:1200 ---------- fa56bf61-.../172.16.111.168:1200 fa56bf61-90da-11e8-bf33-005056a12a82-1234567 ACCEPT fa56bf61-.../172.16.111.168:1200 12345678-90da-11e8-bf33-005056a12a82-1234567 ACCEPT fa56bf61-.../172.16.111.168:1200 -------------------- 

जब एक ग्राहक काट दिया जाता है, तो OPENVPN_PLUGIN_CLIENT_DISCONNECT फ़ंक्शन कहलाता है।

 OPENVPN_PLUGIN_CLIENT_DISCONNECT { "route_netmask_1":"255.255.0.0", "route_gateway_1":"10.150.0.2", "trusted_ip":"172.16.111.168", "link_mtu":"1622", "IV_COMP_STUB":"1", "daemon_start_time":"1547319280", "IV_LZ4":"1", "dev":"tun150", "common_name":"fa56bf61-90da-11e8-bf33-005056a12a82-1234568", "time_ascii":"Sat Jan 12 18:54:48 2019", "bytes_received":"30893", "IV_NCP":"2", "untrusted_port":"1200", "ifconfig_remote":"10.150.0.2", "IV_LZ4v2":"1", "local_1":"172.16.100.139", "script_context":"init", "untrusted_ip":"172.16.111.168", "config":"/usr/local/etc/openvpn/server150.conf", "username":"fa56bf61-90da-11e8-bf33-005056a12a82-1234568", "trusted_port":"1200", "pf_file":"/tmp/openvpn_pf_4fcad505693b33f97c4fe105df8681cb.tmp", "ifconfig_local":"10.150.0.1", "tun_mtu":"1500", "auth_control_file":"/tmp/openvpn_acf_4bdddbada2885cde42cd3cb1b85d77e5.tmp", "daemon":"1", "IV_COMP_STUBv2":"1", "verb":"3", "IV_PLAT":"win", "daemon_pid":"52435", "time_unix":"1547319288", "redirect_gateway":"0", "route_vpn_gateway":"10.150.0.2", "proto_1":"udp", "route_net_gateway":"172.16.100.1", "IV_PROTO":"2", "daemon_log_redirect":"1", "time_duration":"3781", "dev_type":"tun", "IV_VER":"2.4.3", "IV_LZO":"1", "bytes_sent":"22684", "remote_port_1":"1200", "ifconfig_pool_local_ip":"10.150.0.5", "pluginid":"7", "ifconfig_pool_remote_ip":"10.150.0.6", "local_port_1":"1200", "IV_TCPNL":"1", "route_network_1":"10.150.0.0" } 

एक चर वातावरण में, कनेक्शन अवधि और उपयोगकर्ता ट्रैफ़िक जोड़ा जाता है।

जैसा कि आप देख सकते हैं, विभिन्न कॉल में डेटा की प्रचुरता के कारण, C प्रोग्रामिंग लैंग्वेज (C ++) में प्लग-इन को लिखना और डिबग करना एक समय लेने वाला कार्य होगा।
कार्यक्षमता का विस्तार करने के लिए, आंतरिक परियोजना के लिए पहले "चमत्कार" बनाने का निर्णय लिया गया, और फिर इसे सार्वजनिक डोमेन में डाल दिया गया :)
ओपनवीपीएन स्रोत कोड और अत्यधिक विशिष्ट प्लगइन्स के विभिन्न उदाहरणों के लंबे पढ़ने के बाद, एक परियोजना लिखी गई थी जो सत्र प्रसंस्करण तर्क के लिए पायथन को प्रोग्रामिंग भाषा के रूप में उपयोग करती है। कोड सी-भाषा में एक प्लग-इन है जो ओपनवीपीएन से जुड़ता है, जो प्लग-इन के लिए सभी अनुरोध भेजता है, सी-एपीआई संदर्भ के माध्यम से पायथन को मॉड्यूल भेजता है।

OpenVPN प्लगइन अजगर प्रॉक्सी

पायथन मॉड्यूल क्यों है?

अजगर फाइलों के साथ काम करने वाले पायथन सी-एपी संदर्भ सीधे अजगर पुस्तकालयों को लोड करने के साथ सही ढंग से काम नहीं करते हैं।

यह कैसे काम करता है?

जब प्लगइन OpenVPN में आरंभीकृत होता है, तो प्लगइन सभी कार्यों की एक नकाबपोश सूची देता है जिसे वह सेवा दे सकता है। जब अगला कनेक्शन चरण या आंतरिक घटना होती है, तो OpenVPN प्लगइन से संबंधित फ़ंक्शन को कॉल करता है। प्लगइन पर्यावरण चर और फ़ंक्शन को एक संरचना में पारित मापदंडों को रूपांतरित करता है, अजगर को इनिशियलाइज़ करता है और संरचना को अजगर मॉड्यूल की संबंधित प्रक्रिया में भेजता है। प्रक्रिया प्लगइन के तीन जवाबों में से एक (0 - सफलता, 1 - त्रुटि, 2 - हटाए गए) देता है। प्रतिक्रिया बदलकर OpenVPN द्वारा वापस आ गई है।

कृपया ध्यान दें कि सभी मॉड्यूल कॉल "स्टेटलेस" हैं, जिसका अर्थ है कि प्रक्रियाओं को याद नहीं है और पता नहीं है कि अन्य कॉलों में पहले क्या हुआ था। आप केवल OpenVPN से प्लगइन में पारित चर वातावरण पर ध्यान केंद्रित कर सकते हैं।

अजगर मॉड्यूल के अंदर, आप आवश्यक पुस्तकालयों और संसाधनों को जोड़कर किसी भी तर्क को लागू कर सकते हैं। यदि आप चेक की गति के बारे में निश्चित नहीं हैं, तो "लंबित" पुष्टिकरणों का उपयोग करें।

सेवा से जुड़े उपयोगकर्ताओं के समूह का उपयोग करते हुए, pf_file के माध्यम से आप उपयोगकर्ताओं और अन्य संसाधनों के बीच नेटवर्क इंटरैक्शन को काफी ठीक कर सकते हैं। बदले में, मॉनिटरिंग के लिए प्लग-इन कनेक्ट करके, OpenVPN प्रबंधन इंटरफ़ेस के माध्यम से क्लाइंट सत्रों को प्रबंधित करना हमेशा संभव होगा।

परियोजना के परीक्षण के दौरान, एक पासवर्ड जेनरेशन मैकेनिज्म विकसित किया गया था, जो jwt टोकन के समान था, लेकिन एक छोटे आकार के साथ।

बात सरल है। टोकन में ग्राहक पहचानकर्ता और उपयोग की समाप्ति तिथि होती है। टोकन पर हस्ताक्षर करने के लिए, निजी कुंजी के साथ HMAC_SHA1 का उपयोग किया जाता है। टोकन पर हस्ताक्षर किए जाने के बाद, पाठ सामग्री हस्ताक्षर द्वारा दूषित हो जाती है और बेस 64 में बदल जाती है। इस प्रकार, टोकन की "सीलिंग" प्राप्त की जाती है। एक सील टोकन का उपयोग उपयोगकर्ता के पासवर्ड के रूप में किया जाता है। यदि डेटा ब्लॉक का अनधिकृत परिवर्तन होता है, तो xor टूट जाता है, यदि Xor टूट जाता है, तो हस्ताक्षर सत्यापन टूट जाता है। एक निजी कुंजी के बिना, हस्ताक्षर को नहीं बदला जा सकता है।

यदि आप पासवर्ड वैधता समय को अपने हाथों से नियंत्रित नहीं करना चाहते हैं, तो इस तरह के एक टोकन को उत्पन्न करें, और बाहरी सेवाओं को कॉल किए बिना प्लगइन के अंदर वैधता की जांच करें। यह योजना एक निश्चित समय के लिए सत्र पासवर्ड जनरेशन के लिए बहुत सुविधाजनक है। उसी समय, आप टोकन की सामग्री को एक बाहरी नियंत्रण प्रणाली में स्थानांतरित कर सकते हैं और यह टोकन समाप्त होने के बाद उपयोगकर्ता को डिस्कनेक्ट करने के लिए खुद को कॉन्फ़िगर करेगा।

मुझे उम्मीद है कि इस लेख की जानकारी आपके लिए उपयोगी थी।
इसे पढ़ने के लिए समय निकालने के लिए धन्यवाद।
यदि आपके कोई प्रश्न हैं, तो मैं उत्तर देने का प्रयास करूंगा कि मैं क्या कर सकता हूं

© Aborche 2019