Ці датычыцца гэтае выпраўленне бяспекі OpenVPN нават вашай устаноўкі?

Парада выправіць кліент так, каб ён правяраў сертыфікаты, занадта расплыўчатая, каб дзейнічаць па ёй. Яна можа апісваць выпраўлены дэфект праграмы, старую зборку аднаго пастаўшчыка або профіль, які ніколі не патрабаваў гэтай праверкі. Гэта тры розныя змены з трыма рознымі ўладальнікамі. Дзейнічаць па гэтым сказе, не ведаючы, з якой менавіта вы сутыкнуліся, — гэта спосаб змяніць працуючы кліент без прычыны.

Аддзяліце тры заявы

Дэфект праграмы мае бюлетэнь, закранутыя версіі і выпраўлены выпуск. Зборка пастаўшчыка мае ўласны канал распаўсюджвання і ўласны тэмп абнаўленняў. У пропуску профілю няма ні таго, ні іншага, бо выканальны файл у парадку, а канфігурацыя патрабуе менш, чым вы меркавалі. Пакуль заява не назаве адну з гэтых трох, правяраць няма чаго.

Запішыце заяву адным сказам, перш чым шукаць яе. Калі сказ не можа назваць, што зламана, у пошуку няма мэты, і кожны вынік выглядае датычным.

Знайдзіце выканальны файл, які сапраўды запускаецца

Вызначце, што пачынае злучэнне, перш чым глядзець на любую версію. Служба распаўсюджвання, працоўны плагін і праграма пастаўшчыка могуць кожная выкарыстоўваць розны выканальны файл або рухавік. Версія, якую друкуе любы бінарнік, што трапіў у шлях пошуку абалонкі, не з'яўляецца інвентаром машыны. Чытайце юніт або працэс, які сапраўды выканаў злучэнне.

systemctl cat openvpn-client@*.service
ps -o pid,cmd -C openvpn
apt-cache policy openvpn network-manager-openvpn

Запыт пакета паведамляе, што лакальныя метаданыя лічаць усталяваным і даступным, а гэты кэш можа быць састарэлым, таму спачатку абнавіце яго. Ён таксама нічога не кажа пра тое, ці загрузіла працуючая служба бінарнік, усталяваны пяць хвілін таму. Параўнайце запіс пакета з працэсам, які сапраўды падключаны.

Довады пакета замест уражанняў ад версіі

Суправаджанне бяспекі дыстрыбутываў часта пераносіць выпраўленні назад, таму версія, якая выглядае старэйшай, можа ўсё яшчэ змяшчаць патч. Справядліва і адваротнае: пакет з незнаёмага рэпазіторыя не мае аўтаматычнага права на бягучую падтрымку. Чытайце статус падтрымкі выпуску, а не нумар версіі.

Гэта розніца паміж сапраўднай прагалінай і нумарам, які проста выглядае старым. Запішыце рэпазіторый, адкуль прыйшоў пакет, бо адзін і той жа радок версіі можа прыйсці праз вельмі розныя каналы з вельмі рознай падтрымкай.

Канфігурацыя — другая палова

Выканальны файл, які падтрымліваецца, усё яшчэ патрабуе профілю, які запытвае праверкі, што вы лічыце ўключанымі. Давяральныя якары, меркаваная роля партнёра і чаканае імя сервера — гэта звязаныя, але асобныя рашэнні. Праверка ролі не з'яўляецца праверкай імя, і ні адна не замяняе другую. Калі папярэджанне пра канфігурацыю, выпраўленне належыць таму, хто валодае профілем.

Не ўсталёўвайце адвольны патч, каб кампенсаваць неправераны профіль, і не дадавайце дырэктыву, каб выправіць сапраўдны дэфект рэалізацыі. Абедзве памылкі адчуваюцца як прагрэс, таму абедзве і працягваюцца.

Вырашайце на падставе довадаў у запісе

Рашэнне вынікае з таго, што вы ўсталявалі. Дакументаваны закрануты пакет патрабуе свайго падтрымліванага абнаўлення, неподтрымліваная платформа патрабуе шляху міграцыі, а кліент пастаўшчыка патрабуе рэкамендацый гэтага пастаўшчыка. Неадназначная інструкцыя патрабуе бюлетэня і закранутага кампанента, перш чым нешта з гэтага прымяніцца.

Трымайце актыўны кліент, поўную версію, бюлетэнь і ўладальніка профілю разам у запісе змен. Гэта мацней за спасылку на падручнік, і гэта тое, што сапраўды спатрэбіцца наступнаму чалавеку.