Ці можа ваш кліент VPN яшчэ атрымліваць выпраўленні бяспекі?

Адкрыйце старонку прадукту кліента VPN, і вы ўбачыце пратаколы, табліцу функцый і кнопку спампоўкі; чаго не хапае, дык гэта інфармацыі пра тое, як апрацоўваліся апошнія недахопы. Кліент застаецца ўсталяваным гадамі, таму запіс аб суправаджэнні належыць да выбару побач са спісам пратаколаў. Адны толькі нумары версій нічога не ўпарадкоўваюць, бо шчыльны тэмп выпускаў і спакойны могуць хаваць аднолькавы аб’ём працы. Ніжэйшае апісанне чытае гэты запіс, а затым правярае, ці можа зборка, якая ў вас ёсць, яшчэ атрымаць выпраўленне.

Чытайце апавяшчэнні, а не колькасць версій

Перайдзіце на старонку апавяшчэнняў для прадукту, які вы збіраецеся ўсталяваць, а не на старонку сервернага пакета з той жа назвай. Абнаўленне сервера не азначае выпраўлення кліента, а выпраўленне для настольнай праграмы нічога не кажа пра мабільную. Карысныя часткі апавяшчэння — гэта дыяпазон закранутых версій, выпраўленая зборка і дзеянне, якое пастаўшчык прасіў зрабіць карыстальнікам. Спіс апавяшчэнняў бяспекі OpenVPN мае такую форму, што робіць яго сумленным арыенцірам для любога пастаўшчыка, якога вы разглядаеце.

Частата выпускаў — слабы сігнал у абодва бакі: шчыльны тэмп можа быць дробным суправаджэннем, а спакойны перыяд можа ўсё яшчэ ўтрымліваць значныя выпраўленні. Пастаўшчыка ўпарадкоўвае тое, ці даў паведамлены недахоп ясную заяву і выпраўленую зборку. Няпэўнасць у гэтым запісе — сама па сабе знаходка, бо яна мяркуе, што наступны недахоп апрацуюць гэтак жа.

Прасочыце канал, праз які прыходзіць ваша зборка

Канал вызначае, як хутка выпраўленне дасягае вас, і ён не аднолькавы на кожнай платформе. Крама, усталёўшчык пастаўшчыка, пакет дыстрыбутыва і партал праграмнага забеспячэння арганізацыі маюць кожны свой час і крок зацвярджэння. Перапакаваная зборка можа адставаць ад першакрыніцы на тыдні, а зборка ад трэцяга боку можа наогул не прытрымлівацца графіка пастаўшчыка.

Спытайцеся ў метаданых пакета, які канал валодае бінарным файлам, замест таго каб давяраць старонцы спампоўкі, якую вы памятаеце. Гэтыя тры каманды вызначаюць уладальніка і версію-кандыдата ў звычайных наладах Linux і Flatpak:

dpkg -S "$(command -v openvpn)"
apt policy openvpn
flatpak list --columns=application,version

Праверце, што ўсталявана насамрэч

Апавяшчэнне апісвае праект, а не вашу машыну, і пасля любога няпоўнага разгортвання гэтыя дзве рэчы розняцца. Прачытайце ўсталяваную версію, перш чым прыняць разгортванне як выпраўленае:

openvpn --version | head -3
wg --version
winget list --name OpenVPN

Кіраванаму парку патрэбен адміністратар для зацвярджэння разгортвання, таму апавяшчэнне не з’яўляецца ўсталяваным выпраўленнем. Спытайцеся, калі інструменты разгортвання прынясуць новую зборку, і пастаўце гэты адказ побач з датай міграцыі. Пакуль дата не настане, парк захоўвае старую зборку і старую ўразлівасць.

Дакажыце, што абнаўленне не зламала тунель

Абнаўленне можа змяніць паводзіны маршрутызацыі, параметры ўсталёўшчыка або месцазнаходжанне файла канфігурацыі, і звычайна змена праяўляецца як праблема злучэння, а не як нататка да выпуску. Праверце злучэнне, маршрутызацыю і перападключэнне па дакументаванай працэдуры, замест таго каб меркаваць, што старыя паводзіны захаваліся. Трымайце патрабаванні профілю і налады сумяшчальнасці ў тым жа запісе, каб пазнейшы збой можна было аднесці да зборкі, а не да сеткі.

Калі новая зборка не працуе, зафіксуйце версію, журнал і дакладны момант збою перад адкатам. Адкот без доказаў звычайна сканчаецца тым, што тое ж абнаўленне спрабуюць зноў і атрымліваюць той жа вынік:

ip route get 203.0.113.10
openvpn --config client.ovpn --verb 4 2>&1 | grep -i -E 'error|fatal'
systemctl status openvpn-client@client --no-pager

Спачатку зафіксуйце, потым вырашайце. Пошук маршруту аддзяляе праблему тунеля ад праблемы адраса, падрабязны журнал называе параметр, які не спрацаваў, а стан модуля паказвае, ці кліент наогул запусціўся. Гэтыя тры радкі таксама даюць прыдатную для пастаўшчыка справаздачу, замест апісання сімптомаў, якія ніхто не можа паўтарыць.

Калі платформа выходзіць з падтрымкі

Калі пастаўшчык спыняе падтрымку аперацыйнай сістэмы, сумленныя варыянты — гэта міграцыя або дакументаванае выключэнне. Замарожванне кліента без суправаджэння, каб пазбегнуць абнаўлення, захоўвае зборку, якая больш не атрымлівае выпраўленняў, і гэта менавіта тая ўласцівасць, дзеля якой чытаўся запіс апавяшчэнняў. Выключэнне можна абараняць толькі з уладальнікам і датай заканчэння, далучанымі да яго.

Завяршыце агляд, запісаўшы ў нататку аб выбары тры факты: дыяпазон падтрымліваных версій, апошнюю выпраўленую зборку, якую вы можаце ўсталяваць, і дату міграцыі для ўсяго па-за гэтым дыяпазонам. Калі аднаго з трох няма, спытайце ў пастаўшчыка да рашэння, а не пасля. Маўчанне пастаўшчыка не з’яўляецца доказам працэсу суправаджэння.