Köhnə VPN profillərindəki köhnəlmiş şifrə sətirləri: kopyalamadan əvvəl oxuyun

2016-cı ildə yazılmış bu profil hələ də idxal olunur və hələ də qoşulur. Buna görə də heç kim ona baxmır. Bu təlimatları bir vaxtlar oxuyan müştəri çoxdan yoxdur, cari buraxılış isə onların bir neçəsini fərqli şəkildə təhlil edə bilər.

Faylın qalması konfiqurasiyanın güncəl olması demək deyil. Bu iki fikri ayırmaq işin çox hissəsidir.

Profili hansı müştərinin yazdığını öyrənin

Buraxan tərəflə və versiya ilə başlayın. Təlimatın mənasını onu oxuyan tətbiq müəyyən edir. Vaxtilə alqoritm seçən sətir ehtiyat siyahısına, xəbərdarlığa və ya ciddi xətaya çevrilə bilər. Onu hansı buraxılışın təhlil etməsi nəticəni həll edir.

OpenVPN ən aydın nümunədir. 2.5 versiyası data-ciphers təqdim etdi və köhnə cipher təlimatının danışıqlarda iştirakını dəyişdi. Yalnız cipher AES-128-CBC daşıyan profil indi müəllifinin nəzərdə tutduğundan qat-qat dar təklif verir.

İndi xəbərdarlıq verən və ya uğursuz olan parametr üçün buraxılış qeydlərini oxuyun. Jurnaldakı xəbərdarlıq cari buraxılış haqqında bir faktdır və sətrin niyə əlavə edildiyi barədə hər hansı xatirədən üstündür.

Əslində nəyin razılaşdırıldığına baxın

İdxalın uğuru təhlili sübut edir, siyasəti yox. Razılaşdırılmış nəticə bağlantı qurulduqdan sonra müştəri jurnalında görünür. O, konfiqurasiya faylının hər iki tərəfindən fərqlənə bilər.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

Təlimatı sakitcə atan qəbul edilmiş idxal, bir cür oxunan və başqa cür davranan profil qoyur. Bu boşluq sərtləşdirilmiş kimi işarələnmiş sənədin öz mətninin iddia etdiyindən zəif bir şeyi razılaşdırmasıdır. Fərq yalnız jurnalda görünür. Fayla güvənməzdən əvvəl onu oxuyun.

Sətri deyil, quruluşu yeniləyin

İdxal şikayət etməyi dayandırana qədər alqoritm adlarını yığmaq əvəzinə operatorun saxladığı profili götürün. Sınaqla sətir əlavə etmək düzəlişin istiqamətini tərsinə çevirir. Bu, serverin nəyi dəstəklədiyini müəyyən etmək əvəzinə müştərini naməlum serverə uyğunlaşdırır.

Serverə koordinasiyalı yenilənmə də lazım ola bilər. Cari müştəri həmsöhbətin heç vaxt təklif etmədiyi təklif üçün dəstək yarada bilməz. Heç bir müştəri tərəfi seçimi yenilənməmiş şlüzü əvəz etmir.

Güzəştə getmək olmaz olan şey yoxlamadır. Sertifikat yoxlamalarını silmək, host adı yoxlamasını söndürmək və ya köhnə profili saxlamaq üçün yeniləmələri dayandırmaq uyğunluq problemini etimad probleminə çevirir. Bu, adətən hər dəfə kiçik bir düzəlişlə baş verir.

Nəticəni təsdiqləyin və istisnanı qeyd edin

Dəyişiklikdən sonra razılaşdırılmış dəsti yenidən yoxlayın və tunelin mövcud olduğu resursu sınayın. Nəzərdə tutduğunuz şeyi razılaşdırıb yenə də xidmətə çata bilməyən profilin marşrutlaşdırma və ya kimlik problemi var. Onun kriptoqrafik problemi yoxdur.

Əvvəlki etibarlı konfiqurasiyanı qorunan bir yerdə saxlayın. Müqayisə yalnız köhnə fayl hələ mövcud olduqda mümkündür.

Hər hansı uyğunluq istisnasını sahibi və baxış tarixi ilə sənədləşdirin. Sahibi olmayan müvəqqəti güzəşt daimi siyasətə çevrilir. Faylı növbəti oxuyan şəxs onun qəsdən seçildiyini güman edəcək.