Gaan daardie OpenVPN-sekuriteitsregstelling selfs oor jou installasie?

Die raad om die kliënt te regstel sodat dit sertifikate valideer, is te vaag om op te tree. Dit kan ’n reggestelde sagtewarefout beskryf, ’n ou bou van een verskaffer, of ’n profiel wat nooit die kontrole gevra het nie. Dit is drie verskillende veranderinge met drie verskillende eienaars. Om op die sin te handel sonder om te weet watter een jy in die gesig staar, is hoe ’n werkende kliënt sonder rede verander word.

Skei die drie bewerings

’n Sagtewarefout het ’n advies, geaffekteerde weergawes en ’n reggestelde vrystelling. ’n Verskafferbou het sy eie verspreidingskanaal en sy eie opdateringsritme. ’n Profielweglating het nie een van dié nie, want die uitvoerbare lêer is in orde en die opstelling vra minder as wat jy aangeneem het. Totdat die bewering een van dié drie noem, is daar niks om te toets nie.

Skryf die bewering in een sin neer voordat jy daarvoor soek. As die sin nie kan sê wat fout is nie, het die soektog geen teiken nie en lyk elke resultaat relevant.

Vind die uitvoerbare lêer wat werklik loop

Identifiseer wat die verbinding begin voordat jy na enige weergawe kyk. ’n Verspreidingsdiens, ’n lessenaarinprop en ’n verskaffertoepassing kan elk ’n ander uitvoerbare lêer of enjin gebruik. ’n Weergawe wat deur watter binary ook al op die dop se soekpad is, gedruk word, is nie ’n inventaris van die masjien nie. Lees die eenheid of proses wat die verbinding werklik gemaak het.

systemctl cat openvpn-client@*.service
ps -o pid,cmd -C openvpn
apt-cache policy openvpn network-manager-openvpn

Die pakketnavraag rapporteer wat plaaslike metadata dink geïnstalleer en beskikbaar is, en daardie kas kan verouderd wees, so verfris dit eers. Dit sê ook niks oor of die lopende diens ’n binary gelaai het wat vyf minute gelede geïnstalleer is nie. Vergelyk die pakketrekord met die proses wat werklik gekoppel is.

Pakketbewyse in plaas van weergawe-indrukke

Verspreidingssekuriteitsonderhoud rugport dikwels regstellings, so ’n ouer voorkoms-opstroomweergawe kan steeds die pleister bevat. Die omgekeerde geld ook: ’n pakket uit ’n onbekende bewaarplek het geen outomatiese aanspraak op huidige onderhoud nie. Lees die vrystelling se ondersteuningstatus eerder as die weergawenommer.

Daardie onderskeid is die verskil tussen ’n werklike gaping en ’n nommer wat bloot oud lyk. Teken die bewaarplek aan waaruit die pakket gekom het, want dieselfde weergawestring kan deur baie verskillende kanale met baie verskillende ondersteuning aankom.

Opstelling is die ander helfte

’n Onderhoude uitvoerbare lêer het steeds ’n profiel nodig wat die kontroles vra wat jy glo in plek is. Vertrouensankerpunte, die portuur se beoogde rol en die verwagte bedienernaam is verwante maar aparte besluite. ’n Roltoets is nie ’n naamtoets nie, en nie een vervang die ander nie. As die waarskuwing oor opstelling gaan, behoort die regstelling aan wie ook al die profiel besit.

Moet nie ’n willekeurige pleister installeer om ’n ongeverifieerde profiel te vergoed nie, en moenie ’n richtlijn byvoeg om ’n werklike implementeringsfout te herstel nie. Albei foute voel soos vordering, en daarom gebeur albei aanhou.

Besluit met bewyse in die rekord

Die besluit volg uit wat jy vasgestel het. ’n Gedokumenteerde geaffekteerde pakket vra sy ondersteunde opdatering, ’n onondersteunde platform het ’n migrasiepad nodig, en ’n verskafferkliënt het daardie verskaffer se leiding nodig. ’n Dubbelsinnige instruksie het ’n advies en ’n geaffekteerde komponent nodig voordat enige van dié van toepassing is.

Hou die aktiewe kliënt, die volle weergawe, die advies en die profieleienaar saam in die veranderingsrekord. Dit is sterker as ’n tutoriaalverwysing, en dit is wat die volgende persoon werklik nodig sal hê.