Састарэлыя радкі шыфраў у старых профілях VPN: прачытайце перад капіраваннем

Гэты профіль напісаны ў 2016 годзе, і ён дагэтуль імпартуецца і дагэтуль падключаецца. Менавіта таму ніхто на яго не глядзіць. Кліент, які калісьці чытаў гэтыя дырэктывы, даўно знік, а бягучая зборка можа разбіраць некаторыя з іх інакш.

Тое, што файл захаваўся, не азначае, што канфігурацыя актуальная. Раздзяленне гэтых двух ідэй — большая частка працы.

Высветліце, які кліент напісаў профіль

Пачніце з выдаўца і версіі. Сэнс дырэктывы вызначае рэалізацыя, якая яе чытае. Радок, які калісьці выбіраў алгарытм, можа стаць запасным спісам, папярэджаннем або жорсткай памылкай. Тое, які выпуск яе разбірае, і вырашае вынік.

OpenVPN — самы ясны прыклад. Версія 2.5 увяла data-ciphers і змяніла тое, як старэйшая дырэктыва cipher удзельнічае ў перамовах. Профіль, які змяшчае толькі cipher AES-128-CBC, цяпер прапануе значна вузейшую прапанову, чым меркаваў яго аўтар.

Прачытайце нататкі да выпуску пра наладку, якая цяпер папярэджвае або памыляецца. Папярэджанне ў журнале — гэта факт пра бягучую зборку, і ён важнейшы за чыюсьці памяць пра тое, навошта дадалі гэты радок.

Паглядзіце, што фактычна ўзгоднена

Поспех імпарту даказвае разбор, а не палітыку. Узгоднены вынік з’яўляецца ў журнале кліента пасля ўзняцця злучэння. Ён можа адрознівацца ад абодвух канцоў файла канфігурацыі.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

Прыняты імпарт, які ціха адкідае дырэктыву, пакідае профіль, што чытаецца адным чынам, а паводзіць сябе другім. Менавіта гэтая розніца тлумачыць, як дакумент з пазнакай «узмоцнены» ўзгадняе нешта слабейшае, чым сцвярджае яго ўласны тэкст. Журнал — адзінае месца, дзе розніца бачная. Прачытайце яго, перш чым давяраць файлу.

Абнавіце ўладкаванне, а не радок

Вазьміце профіль, які падтрымлівае аператар, замест зборкі назваў алгарытмаў, пакуль імпарт не перастане скардзіцца. Даданне радкоў на спробу разварочвае кірунак выпраўлення. Яно прыстасоўвае кліент да невядомага сервера замест таго, каб устанавіць, што сервер падтрымлівае.

Сервер таксама можа патрабаваць узгодненага абнаўлення. Бягучы кліент не можа стварыць падтрымку прапановы, якую партнёр ніколі не прапануе. Ніякая опцыя на баку кліента не заменіць шлюз, які не абнаўляўся.

Тое, чым нельга ахвяраваць, — гэта праверка. Выдаленне праверак сертыфікатаў, адключэнне праверкі імя хаста або выключэнне абнаўленняў, каб падтрымаць стары профіль, ператварае праблему сумяшчальнасці ў праблему даверу. Звычайна гэта адбываецца па адной дробнай праўцы за раз.

Пацвердзіце вынік і запішыце выключэнне

Пасля змены яшчэ раз агледзьце ўзгоднены набор і праверце рэсурс, для якога існуе тунэль. Профіль, які ўзгадняе жаданае і ўсё ж не дасягае сэрвісу, мае праблему маршрутызацыі або ідэнтычнасці. Крыптаграфічнай праблемы ў яго няма.

Трымайце папярэднюю правераную канфігурацыю ў абароненым месцы. Параўнанне магчымае толькі пакуль стары файл існуе.

Дакументуйце любое выключэнне сумяшчальнасці з уладальнікам і датай перагляду. Часовы кампраміс без уладальніка становіцца пастаяннай палітыкай. Наступны чалавек, які прачытае файл, будзе лічыць, што яго абралі свядома.