OpenVPN Ubuntu yeniləməsindən sonra niyə qoşulmağı dayandırdı?

Keçən həftə işləyən VPN profilləri Ubuntu buraxılış yeniləməsindən sonra sınırr, jurnal isə yeniləməni demək olar ki, xatırlatmır. Adını çəkdiyi şey uğursuz olan təbəqədir: TLS əl sıxma, məlumat kanalı üçün razılaşdırılan şifrə, quraşdırılan paket və ya proqramın başlanğıcda yüklədiyi OpenSSL nüsxəsi. Hər təbəqənin öz xəta forması və öz təmiri var, bu da təsnifatı birinci iş, redaktəni ikinci iş edir. Jurnal onu adlandırmayana qədər profili günahsız sayın.

Hansı təbəqə uğursuz oldu: əl sıxma, şifrə, paket yoxsa kitabxana

Profili toxunmadan əvvəl müştəri jurnalını oxuyun. Çıxışdakı ən erkən xəta təbəqəni müəyyən edəndir; ondan sonra yazılan hər şey adətən həmin ilk uğursuzluğun nəticəsidir. Müştəri heç başlamırsa, VPN jurnalı açılacaq yanlış fayldır.

Sertifikat və imza şikayətləri və ya açar uzunluğu barədə mesaj idarəetmə kanalından və onu tənzimləyən kitabxana siyasətindən gəlir. DEPRECATED OPTION ilə başlayan xəbərdarlıq isə məlumat kanalı razılaşdırmasına aiddir.

Belə bir sətir: Unrecognized option üçüncü kateqoriyadır: yeni proqram köhnənin dözdüyü direktivi artıq qəbul etmir, yəni kitabxananı yumşaltmaq əvəzinə profili yenidən yazmaq lazımdır. Paket uğursuzluqları yenə başqa cür görünür, çünki onlar hər hansı tunel kodu işləməmişdən əvvəl baş verir. İtmiş proqram, yüklənməyən plagin və ya səhv kod adına işarə edən repozitoriya hamısı bu formanı verir. Dörd simptom, dörd baxılacaq yer və təmir yolları arasında demək olar ki, kəsişmə yoxdur.

Əl sıxma uğursuz olduqda, sertifikatı TLS siyasəti rədd edir

Ubuntu 22.04 sistemi OpenSSL 3-ə keçirdi və bu qolda standart təhlükəsizlik səviyyəsi sertifikat imzalarına və açar ölçülərinə 20.04-də olduğundan daha sərt yanaşır. Köhnə həzm ilə imzalanmış CA sertifikatı və ya cari həddən aşağı açar indi əl sıxma zamanı uğursuz olur. Hələ heç nə autentifikasiya olunmadığı üçün xəta yanlış parol və ya ölü server kimi oxunur.

Dar təmir şifrə sətrini yalnız bu bağlantıya bağlayır. Masaüstü redaktorunda profili açın, qabaqcıl parametrlərə keçin və DEFAULT:@SECLEVEL=0 dəyərini TLS şifrə sahəsinə yazın. NetworkManager açar faylı eyni dəyəri [vpn] bölməsi altında götürür:

[vpn]
tls-cipher=DEFAULT:@SECLEVEL=0

NetworkManager-i yenidən başladın və yenidən qoşulun, çünki xidmət parse edilmiş profilləri keşləyir və əks halda artıq saxladığı nüsxəni işlətməyə davam edəcək. Sətri saxlamaqdan əvvəl nə etdiyini bilin: bu parametr şifrə adı deyil, bir neçə sertifikat və açar göstəricisi üzrə hədddir, ona görə onu aşağı salmaq tək profilin qəbul etdiyi dairəni genişləndirir. Hansı serverin bunu tələb etdiyini qeyd edin və operator cari materialı yenidən buraxdıqdan sonra parametri ləğv edin. /etc/ssl/openssl.cnf dəyişmək isə həmin faylı oxuyan hər proqram üçün eyni həddə çatır, bu da VPN-dən qat-qat uzaqdır.

OpenVPN 2.6 şifrənin razılaşdırma üçün sadalanmasını tələb edir

Ubuntu 22.10 OpenVPN 2.6-nı buraxdı və həmin versiyada --cipher məlumat kanalını təkbaşına seçməkdən əl çəkir. Şifrə həm də razılaşdırılan data-ciphers siyahısında olmalıdır, əks halda müştəri köhnəlmə xəbərdarlığı çap edir və tuneli qaldıra bilmir.

Həmin dövrün NetworkManager plagini hələ də yalnız köhnə direktivi yazırdı. Bu detal diaqnozu bölür, çünki əl ilə düzəldilmiş profil qabıqdan qoşula və masaüstü tətbiqindən yenə uğursuz ola bilər. Siyahını bağlantı faylına [vpn] bölməsi altında əlavə edin:

data-ciphers=AES-256-CBC

Yaddaşınızda qalanı deyil, serverin elan etdiyi dəyəri istifadə edin; AES-256-GCM təklif edən server yalnız CBC adlandıran müştəri siyahısı ilə razılaşmayacaq. Meneceri yenidən başladın və qoşulun, sonra əmri qabıqdan təkrar edin və şifrəni həm razılaşdırma, həm ehtiyat üçün açıq şəkildə ötürün:

sudo openvpn --config client.ovpn --data-ciphers AES-256-CBC --data-ciphers-fallback AES-256-CBC

Bu əmr tuneli qaldırırsa, server, sertifikatlar və etimad məlumatları sağlamdır və yalnız menecerin saxladığı parametr qüsur olaraq qalır. keysize direktivi barədə xəbərdarlıq eyni təmizliyə aiddir: onu şərhə alın və orijinal faylı profilin yanında saxlayın.

Paket və plagin qüsurları VPN qüsurlarına bənzəyir

Yeniləmədən sonra hər uğursuzluq kriptoqrafik deyil. Buraxılışın istifadə etmədiyi kod adı altında əlavə edilmiş OpenVPN repozitoriyası heç vaxt quraşdırılmayan paket yaradır, ona görə lsb_release -a nə bildirdiyini əlavə etdiyiniz siyahı faylı ilə müqayisə edin. İtmiş universe komponenti və ya təhlükəsizlik cibi tamamilə tapılmayan paket yaradır. Hər iki hal profili toxunulmaz, tuneli isə qeyri-mümkün qoyur.

VPN jurnalından əvvəl paket menecerinin xətasını oxuyun. Müştəri heç quraşdırılmayıbsa, profil redaktəsinin heç bir miqdarı əl sıxma yaratmayacaq.

Soruşmağı dayandıran ikifaktorlu profillər eyni hekayənin plagin versiyasıdır. Çağırış autentifikasiya plaginindən gəlir və onu atan və ya əvəz edən yeniləmə profili toxunulmaz qoyub sorğunu yox edir. Bağlantını işlətmək üçün ikinci faktoru silmək əvəzinə dəstəklənən plagini yenidən quraşdırın.

Satıcı kitabxanası siyasət xətasının arxasında gizlənə bilər

Bir nümunə tanınmağa dəyər, çünki hər siyasət təmirini məğlub edir. Avadanlıq satıcısının konfiqurasiya aləti öz OpenSSL kitabxanalarını quraşdırıb onları yükləyicinin axtarış yolunda sistem nüsxələrindən qabağa qoya bilər. Sonra müştəri heç kimin yeniləmədiyi kitabxanaya qarşı başlayır və başlanğıc uğursuzluğu rədd edilmiş sertifikata tam bənzəyir.

VPN paketini yenidən quraşdırmaq hansı kitabxananın birinci tapılacağını dəyişmir və TLS səviyyəsini aşağı salmaq sistemdən heç vaxt gəlməyən kitabxanaya çata bilməz. Yükləyicidən proqramın həqiqətən hansı kripto obyektlərini həll etdiyini soruşun:

ldd /usr/sbin/openvpn | grep -i -E 'ssl|crypto'

Satıcı nüsxəsini silin və ya yenidən istiqamətləndirin, sonra eyni yoxlamanı təkrar işlədin. Gözlənilən versiya profilo qayıtmazdan əvvəl istifadədə olan versiya olmalıdır.

Köhnə müştərini sabitləmək vaxt alır, həll yox

Əvvəlki müştəri versiyasını saxlamaq tuneli saxlama davam etdiyi müddətdə bərpa edir. O, həm də həmin paket üçün təhlükəsizlik yeniləmələrini dondurur və eyni sıradan çıxmanı növbəti yeniləmə üçün planlaşdırır, ona görə bunu həll yox, tarixli müvəqqəti tədbir kimi qəbul edin.

Əgər həqiqətən sabitləyirsinizsə, paketi açıq şəkildə saxlayın ki, nəzarətsiz yeniləmə sabitləməni ləğv edə bilməsin, səbəbi və yenidən baxılacaq tarixi yazın və provayderin növbəti profil buraxılışı üçün xatırlatma qurun. İzləməyə dəyər vəziyyət cari şifrəni razılaşdıran server profilidir; o yaranan kimi sabitləmənin heç bir əsası qalmır. Qeydə alınmamış sabitləmə isə altı ay sonra heç kimin izah edə bilməyəcəyi fasiləyə çevrilir, çünki onu tətbiq edən şəxs gedib və fayl heç nə qeyd etmir.

Növbəti dəfə VPN buraxılış yeniləməsindən sonra sıradan çıxanda beş sualı ardıcıl verin: hansı təbəqə ilk xətanı yaratdı, TLS siyasəti sertifikatı rədd etdimi, şifrə hər iki istiqamətdə razılaşdırıla bilirmi, paket və onun plagini həqiqətən quraşdırıldımı və proses hansı kitabxananı yükləyir. Yalnız bu beşi təmiz qayıtdıqdan sonra versiyanı aşağı salmaq məna kəsb edir.