Тази корекция за сигурност на OpenVPN засяга ли изобщо вашата инсталация?

Съветът да се пачне клиентът, за да валидира сертификати, е твърде неясен, за да се действа по него. Той може да описва поправен софтуерен дефект, стара сборка от един доставчик или профил, който никога не е искал проверката. Това са три различни промени с три различни собственика. Действието по това изречение, без да знаете с кое се сблъсквате, е начинът работен клиент да бъде променен без причина.

Разделете трите твърдения

Софтуерният дефект има бюлетин, засегнати версии и поправено издание. Сборката на доставчик има свой канал за разпространение и свой темп на обновяване. Пропускът в профила няма нито едно от двете, защото изпълнимият файл е наред, а конфигурацията иска по-малко, отколкото сте предполагали. Докато твърдението не назове едно от тези три, няма какво да се тества.

Запишете твърдението в едно изречение, преди да го търсите. Ако изречението не може да назове какво е счупено, търсенето няма цел и всеки резултат изглежда уместен.

Намерете изпълнимия файл, който наистина работи

Определете какво стартира връзката, преди да погледнете каквато и да е версия. Разпространителска услуга, настолен плъгин и приложение на доставчик могат да използват различен изпълним файл или машина. Версия, отпечатана от който и да е двоичен файл, попаднал в пътя за търсене на обвивката, не е инвентар на машината. Прочетете юнита или процеса, който действително е осъществил връзката.

systemctl cat openvpn-client@*.service
ps -o pid,cmd -C openvpn
apt-cache policy openvpn network-manager-openvpn

Заявката за пакет съобщава какво според локалните метаданни е инсталирано и достъпно, а този кеш може да е остарял, затова първо го обновете. Тя също не казва нищо за това дали работещата услуга е заредила двоичен файл, инсталиран преди пет минути. Сравнете записа на пакета с процеса, който действително е свързан.

Доказателства от пакета вместо впечатления от версията

Поддръжката на сигурността в дистрибуциите често пренася поправки назад, така че по-стара на вид версия от upstream може все още да съдържа пача. Вярно е и обратното: пакет от непознато хранилище не носи автоматично право на текуща поддръжка. Четете статуса на поддръжка на изданието, а не номера на версията.

Тази разлика е разликата между истинска празнина и число, което само изглежда старо. Запишете хранилището, от което е дошъл пакетът, защото един и същ низ за версия може да дойде по много различни канали с много различна поддръжка.

Конфигурацията е другата половина

Поддържан изпълним файл все още се нуждае от профил, който иска проверките, които смятате за налични. Доверителните котви, предвидената роля на партньора и очакваното име на сървъра са свързани, но отделни решения. Проверката на ролята не е проверка на име и нито една не замества другата. Ако предупреждението е за конфигурация, поправката принадлежи на този, който притежава профила.

Не инсталирайте произволен пач, за да компенсирате непроверен профил, и не добавяйте директива, за да поправите истински дефект в реализацията. И двете грешки изглеждат като напредък, затова и двете продължават да се случват.

Решавайте с доказателства в записа

Решението следва от това, което сте установили. Документиран засегнат пакет изисква поддържаното си обновяване, неподдържана платформа се нуждае от път за миграция, а клиент на доставчик се нуждае от указанията на този доставчик. Двусмислена инструкция се нуждае от бюлетин и засегнат компонент, преди някое от тях да се приложи.

Дръжте активния клиент, пълната версия, бюлетина и собственика на профила заедно в записа за промяната. Това е по-силно от препратка към урок и е точно това, което следващият човек ще има нужда.