Verouderde syferlyne in ou VPN-profiele: lees dit voordat jy dit kopieer

Hierdie profiel is in 2016 geskryf en voer steeds in en verbind steeds. Dit is juis waarom niemand daarna kyk nie. Die kliënt wat hierdie riglyne eens gelees het, is lankal weg, en die huidige weergawe kan verskeie daarvan anders ontleed.

Dat ’n lêer bly voortbestaan, beteken nie dat die konfigurasie op datum is nie. Om daardie twee idees te skei, is die grootste deel van die werk.

Vind uit watter kliënt die profiel geskryf het

Begin by die uitgewer en die weergawe. Die betekenis van ’n riglyn word deur die implementering bepaal wat dit lees. ’n Reël wat eens ’n algoritme gekies het, kan ’n terugvallys, ’n waarskuwing of ’n harde fout word. Watter uitgawe dit ontleed, bepaal die uitkoms.

OpenVPN is die duidelikste voorbeeld. Weergawe 2.5 het data-ciphers ingestel en verander hoe die ouer cipher-riglyn aan onderhandeling deelneem. ’n Profiel wat net cipher AES-128-CBC bevat, maak nou ’n veel smaller voorstel as wat sy skrywer bedoel het.

Lees die vrystellingsnotas vir die instelling wat nou waarsku of misluk. ’n Waarskuwing in die log is ’n feit oor die huidige weergawe, en dit weeg swaarder as enigiemand se herinnering aan waarom die reël bygevoeg is.

Kyk na wat werklik onderhandel is

Suksesvolle invoer bewys ontleding, nie beleid nie. Die onderhandelde resultaat verskyn in die kliëntlog nadat die verbinding opkom. Dit kan van beide kante van die konfigurasielêer verskil.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

’n Aanvaarde invoer wat stilweg ’n riglyn laat val, lewer ’n profiel wat anders lees as wat dit doen. Daardie gaping is hoe ’n dokument wat as geharde gemerk is, iets swakker onderhandel as wat sy eie teks beweer. Die log is die enigste plek waar die verskil wys. Lees dit voordat jy die lêer vertrou.

Gradeer die reëling op, nie die reël nie

Kry die operateur se onderhoude profiel in plaas daarvan om algoritmename saam te stel tot die invoer ophou kla. Om reëls by proef te voeg, keer die rigting van die regstelling om. Dit pas die kliënt by ’n onbekende bediener aan eerder as om vas te stel wat die bediener ondersteun.

Die bediener het dalk ook die gekoördineerde opgradering nodig. ’n Huidige kliënt kan nie ondersteuning skep vir ’n voorstel wat die eweknie nooit bied nie. Geen kliëntkant-opsie vervang ’n poort wat nie opgedateer is nie.

Wat nie prysgegee mag word nie, is verifikasie. Om sertifikaatkontroles te verwyder, die gasheernaamtoets af te skakel of opdaterings uit te skakel om ’n ou profiel aan die lewe te hou, verander ’n versoenbaarheidsprobleem in ’n vertrouensprobleem. Dit gebeur gewoonlik een klein wysiging op ’n slag.

Bevestig die resultaat en teken die uitsondering aan

Ondersoek ná die verandering weer die onderhandelde stel en toets die hulpbron waarvoor die tonnel bestaan. ’n Profiel wat onderhandel wat jy bedoel het en steeds nie die diens bereik nie, het ’n roeterings- of identiteitsprobleem. Dit het nie ’n kriptografiese een nie.

Hou die vorige bekende-goeie konfigurasie op ’n beskermde plek. ’n Vergelyking is net moontlik terwyl die ou lêer nog bestaan.

Dokumenteer enige versoenbaarheidsuitsondering met ’n eienaar en ’n hersieningsdatum. ’n Tydelike reëling sonder eienaar word permanente beleid. Die volgende persoon wat die lêer lees, sal aanvaar dat dit doelbewus gekies is.