هل إصلاح OpenVPN الأمني هذا يتعلق أصلًا بتثبيتك أنت؟
التصحيح والتكوين دعويان مختلفتان. حدِّد الملف التنفيذي والحزمة التي تقف خلفه والفحوص التي ينفّذها الملف الشخصي فعلًا.
النصيحة بتصحيح العميل كي يتحقق من الشهادات غامضة أكثر من أن يُعمل بها. فقد تصف عيبًا برمجيًا جرى إصلاحه، أو بناءً قديمًا من مزوّد واحد، أو ملفًا شخصيًا لم يطلب الفحص قط. هذه ثلاثة تغييرات مختلفة بثلاثة مالكين مختلفين. والعمل بهذه الجملة من دون معرفة أيّها تواجهه هو كيف يُعدَّل عميل يعمل من دون سبب.
افصل الدعاوى الثلاث
العيب البرمجي له نشرة أمنية وإصدارات متأثرة وإصدار مُصلَح. وبناء المزوّد له قناة توزيع خاصة وإيقاع تحديث خاص. أما إغفال الملف الشخصي فليس له شيء من ذلك، لأن الملف التنفيذي سليم والتكوين يطلب أقل مما افترضت. وإلى أن تسمّي الدعوى واحدًا من هذه الثلاثة، لا يوجد شيء لاختباره.
اكتب الدعوى في جملة واحدة قبل أن تبحث عنها. وإذا لم تستطع الجملة تسمية المعطوب، فالبحث بلا هدف وكل نتيجة تبدو ذات صلة.
| Claim | Evidence that settles it | Who owns the change |
|---|---|---|
| Software defect | Advisory naming affected versions | Package or product maintainer |
| Provider build | Release notes for that client | The provider |
| Profile omission | The configuration actually loaded | Whoever owns the profile |
اعثر على الملف التنفيذي الذي يعمل فعلًا
حدِّد ما يبدأ الاتصال قبل أن تنظر إلى أي إصدار. فخدمة التوزيع وإضافة سطح المكتب وتطبيق المزوّد قد يستخدم كل منها ملفًا تنفيذيًا أو محرّكًا مختلفًا. والإصدار الذي يطبعه أي برنامج ثنائي يصادف وجوده في مسار البحث في الصدفة ليس جردًا للجهاز. اقرأ الوحدة أو العملية التي نفّذت الاتصال فعلًا.
systemctl cat openvpn-client@*.service
ps -o pid,cmd -C openvpn
apt-cache policy openvpn network-manager-openvpnيبلّغ استعلام الحزمة عمّا تعتقد البيانات الوصفية المحلية أنه مثبّت ومتاح، وذاك المخزن المؤقت قد يكون بائتًا، فحدّثه أولًا. ولا يقول شيئًا عن كون الخدمة العاملة حمّلت برنامجًا ثنائيًا ثُبِّت قبل خمس دقائق. قارن سجل الحزمة بالعملية المتصلة فعلًا.
أدلة الحزمة بدل انطباعات الإصدار
كثيرًا ما تنقل صيانة الأمان في التوزيعات الإصلاحات إلى الخلف، لذا قد يحتوي إصدار المنبع الأقدم مظهرًا على الترقيع. والعكس صحيح أيضًا: فحزمة من مستودع غير مألوف لا تحمل ادعاءً تلقائيًا بصيانة حالية. اقرأ حالة دعم الإصدار بدل رقم الإصدار.
هذا التمييز هو الفرق بين فجوة حقيقية ورقم يبدو قديمًا فحسب. سجّل المستودع الذي جاءت منه الحزمة، لأن سلسلة الإصدار نفسها قد تصل عبر قنوات مختلفة جدًا بدعم مختلف جدًا.
التكوين هو النصف الآخر
الملف التنفيذي المخدوم لا يزال يحتاج ملفًا شخصيًا يطلب الفحوص التي تظن أنها قائمة. فمراسي الثقة والدور المقصود للنظير واسم الخادم المتوقع قرارات مترابطة لكنها منفصلة. وفحص الدور ليس فحص اسم، ولا يغني أحدهما عن الآخر. وإذا كان التحذير عن التكوين، فالإصلاح يخص من يملك الملف الشخصي.
لا تثبّت ترقيعًا عشوائيًا لتعويض ملف شخصي غير متحقق منه، ولا تضف توجيهًا لإصلاح عيب تنفيذ حقيقي. فكلا الخطأين يبدو تقدمًا، ولهذا يستمر وقوعهما.
قرّر بدليل في السجل
يتبع القرار ما أثبتّه. فالحزمة المتأثرة الموثقة تستدعي تحديثها المدعوم، والمنصة غير المدعومة تحتاج مسار ترحيل، وعميل المزوّد يحتاج إرشاد ذلك المزوّد. والتعليمة الغامضة تحتاج نشرة أمنية ومكوّنًا متأثرًا قبل أن ينطبق أي من ذلك.
اجمع العميل النشط والإصدار الكامل والنشرة الأمنية ومالك الملف الشخصي في سجل التغيير. فذلك أقوى من إشارة إلى درس تعليمي، وهو ما سيحتاجه الشخص التالي فعلًا.