Остарели шифър-редове в стари VPN профили: прочетете, преди да копирате

Този профил е написан през 2016 година и все още се импортира, и все още се свързва. Точно затова никой не го поглежда. Клиентът, който някога е чел тези директиви, отдавна го няма, а текущата сборка може да анализира някои от тях по различен начин.

Файлът да оцелее не означава, че конфигурацията е актуална. Разделянето на тези две идеи е по-голямата част от работата.

Разберете кой клиент е написал профила

Започнете с издателя и версията. Значението на една директива се определя от реализацията, която я чете. Ред, който някога е избирал алгоритъм, може да стане резервен списък, предупреждение или твърда грешка. Кое издание я анализира решава резултата.

OpenVPN е най-ясната илюстрация. Версия 2.5 въведе data-ciphers и промени как по-старата директива cipher участва в преговорите. Профил, който носи само cipher AES-128-CBC, сега прави много по-тясно предложение, отколкото авторът му е имал предвид.

Прочетете бележките към изданието за настройката, която сега предупреждава или се проваля. Предупреждението в журнала е факт за текущата сборка и е по-силно от нечий спомен защо е добавен редът.

Вижте какво всъщност е договорено

Успешният импорт доказва анализ, не политика. Договореният резултат се появява в клиентския журнал, след като връзката се вдигне. Той може да се различава от двата края на конфигурационния файл.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

Приет импорт, който тихо изхвърля директива, оставя профил, който се чете по един начин, а се държи по друг. Именно тази разлика обяснява как документ, обозначен като укрепен, договаря нещо по-слабо, отколкото твърди собственият му текст. Журналът е единственото място, където разликата се вижда. Прочетете го, преди да се доверите на файла.

Актуализирайте подредбата, а не реда

Вземете поддържания от оператора профил, вместо да сглобявате имена на алгоритми, докато импортът спре да се оплаква. Добавянето на редове чрез проби обръща посоката на поправката. То приспособява клиента към непознат сървър, вместо да установи какво поддържа сървърът.

Сървърът също може да се нуждае от съгласувано обновяване. Текущ клиент не може да създаде поддръжка за предложение, което партньорът никога не предлага. Никаква опция от страна на клиента не замества шлюз, който не е обновен.

Това, което не бива да се жертва, е проверката. Премахването на проверките на сертификатите, изключването на проверката на името на хоста или спирането на обновяванията, за да остане стар профил жив, превръща проблем със съвместимостта в проблем с доверието. Обикновено това става с по една малка редакция наведнъж.

Потвърдете резултата и запишете изключението

След промяната прегледайте отново договорения набор и тествайте ресурса, за който съществува тунелът. Профил, който договаря желаното и все пак не достига услугата, има проблем с маршрутизацията или идентичността. Той няма криптографски проблем.

Пазете предишната изпитана конфигурация на защитено място. Сравнение е възможно само докато старият файл още съществува.

Документирайте всяко изключение по съвместимост със собственик и дата за преглед. Временно улеснение без собственик става постоянна политика. Следващият човек, който прочете файла, ще приеме, че е избрано умишлено.