VPN ламаецца пасля абнаўлення кліента? Параўнайце перамовы

Абнаўленні замяняюць кампанент, які разбірае ваш профіль і вядзе перамовы аб тунелі. Першы збой пасля абнаўлення — гэта доказ пра канкрэтную змену, а не прысуд выпуску. Захаваць гэтую памылку разам з версіяй і адзнакай часу — самы каштоўны крок, які можна зрабіць перад любым пераўсталяваннем.

Два механізмы тлумачаць большасць такіх разрываў. Іх раздзяленне і ёсць работа.

Што змянілася ў перамовах пад вамі

OpenVPN вядзе перамовы аб шыфры канала даных, а не бярэ яго з адной дырэктывы, і опцыі, якія кіруюць гэтымі перамовамі, змянілі значэнне ад выпуску да выпуску. Профіль, напісаны для старэйшага кліента, можа падключыцца, а потым не дамовіцца аб канале даных, што праяўляецца як разрыў злучэння замест яснай памылкі канфігурацыі. Новыя выпускі таксама ўзмацняюць або скасоўваюць старыя паводзіны і пастаўляюць рэжым сумяшчальнасці для партнёраў, якія яшчэ не перайшлі. Такім чынам, абнаўленне можа зламаць працоўны профіль, не крануўшы ні байта ў файле.

Уплыў на кліента асіметрычны. Кіравальны канал узнікае, аўтэнтыфікацыя праходзіць, а тунель памірае пасля гэтага — гэта подпіс неадпаведнасці перамоваў, а не адхіленага профілю.

Прачытайце ўсталяваную версію, перш чым будаваць тэорыі пра сервер. Гэты радок — лакальны факт, які можна праверыць, не просячы ў кагосьці доступу.

Профіль можа разбірацца і азначаць нешта іншае

Дырэктыва, якая праходзіць разбор, не абавязкова застаецца дырэктывай, якая робіць тое, што меў на ўвазе яе аўтар. Опцыі могуць прымацца для сумяшчальнасці і ігнаравацца, пераймяноўвацца або ўжывацца ў больш вузкім выпадку, чым раней. Паколькі нішто не выдае памылку, профіль выглядае правільным, хоць паводзіны пад ім змяніліся. Менавіта гэтая цішыня робіць такія рэгрэсіі дарагімі.

Спытайце, якія радкі сапраўды адказныя за вынік перамоваў, а затым зверце іх з дакументацыяй той версіі, якую вы цяпер запускаеце. Гэтае параўнанне кароткае, і ў ім розніца паміж выпраўленнем і адкатам.

openvpn --version | head -n 2
openvpn --show-ciphers | head -n 10
grep -nE '^(cipher|data-ciphers|ncp-|tls-)' office.ovpn

Платформа рушыла адначасова

Выпускі кліента рэдка прыходзяць самі. Абнаўленне аперацыйнай сістэмы, запыт, які цяпер патрабуе яўнай згоды карыстальніка, або кіраваная палітыка, ужытая да прылады, могуць прыйсці ў той жа тыдзень і даць збой, у якім абвінавацяць кліента. Мабільныя платформы дадаюць свой пласт, бо праграма просіць у сістэмы тунель, а сістэма вырашае, што гэты тунель можа маршрутызаваць.

Запісвайце гэтыя змены асобна ў храналогіі. Калі аўтэнтыфікацыя праходзіць, але маршруты або развязанне імёнаў не працуюць, цікавая стадыя — пасля рукапаціску, і аслабленне праверкі сертыфікатаў яе не кране.

Паўтарыце падзею, якая пачала справаздачу

Узнавіце зыходную паслядоўнасць, а не яе спрошчаны варыянт: пачатковае злучэнне, праграма, якая збаіла, і звычайнае перападключэнне пасля змены сеткі. Тунель, які ўзнімаецца ў тэставых умовах і ўсё ж падае на шляху перападключэння, не выпраўлены, і розніца звычайна паказвае, дзе жыве сапраўдны дэфект. Справаздача, якая апускае крок перападключэння, закрывае памылку, якая ўсё яшчэ адкрытая.

Атрымайце падтрыманы профіль аператара або выпраўленне пастаўшчыка праз правераны канал замест поўнага адкату. Шырокі адкат вяртае і тыя выпраўленні бяспекі, якія нёс абнаўленне, і такі абмен рэдка варты аднаго працоўнага злучэння.