VPN се чупи след актуализация на клиента? Сравнете договарянето

Актуализациите заменят компонента, който анализира профила ви и договаря тунела. Първият отказ след надграждане е доказателство за конкретна промяна, а не присъда за изданието. Запазването на тази грешка с версията и времевия ѝ отпечатък е най-ценната стъпка, която можете да предприемете, преди да преинсталирате каквото и да е.

Два механизма обясняват повечето от тези прекъсвания. Разделянето им е работата.

Какво се промени в договарянето под вас

OpenVPN договаря шифъра на канала за данни, вместо да го взема от една директива, а опциите, които управляват това договаряне, са променили значението си между изданията. Профил, написан за по-стар клиент, може да се свърже и след това да не постигне съгласие за канал за данни, което се проявява като прекъсване вместо ясна грешка в конфигурацията. По-новите издания също затягат или премахват наследено поведение и доставят режим на съвместимост за партньори, които още не са преминали. Затова надграждането може да счупи работещ профил, без да докосне нито байт от файла.

Ефектът върху клиента е асиметричен. Каналът за управление се вдига, удостоверяването успява, а след това тунелът умира — това е отпечатъкът на несъответствие в договарянето, а не на отхвърлен профил.

Прочетете инсталираната версия, преди да теоретизирате за сървъра. Този низ е локален факт, който можете да проверите, без да искате достъп от никого.

Профилът може да се анализира и да значи нещо друго

Директива, която преживява анализа, не е непременно директива, която още прави това, което авторът ѝ е имал предвид. Опциите могат да бъдат приети за съвместимост и пренебрегнати, преименувани или приложени в по-тесен случай отпреди. Понеже нищо не дава грешка, профилът изглежда правилен, докато поведението под него се е променило. Именно тази тишина прави тези регресии скъпи.

Попитайте кои редове действително отговарят за договорения резултат, после ги сверте с документацията за версията, която сега изпълнявате. Това сравнение е кратко и в него е разликата между поправка и връщане назад.

openvpn --version | head -n 2
openvpn --show-ciphers | head -n 10
grep -nE '^(cipher|data-ciphers|ncp-|tls-)' office.ovpn

Платформата се премести по същото време

Изданията на клиента рядко идват сами. Актуализация на операционната система, подкана за разрешение, която вече изисква изрично съгласие, или управлявана политика, приложена към устройството, могат да дойдат в същата седмица и да предизвикат отказ, за който е виновен клиентът. Мобилните платформи добавят свой слой, защото приложението иска тунел от системата, а системата решава какво може да маршрутизира този тунел.

Записвайте тези промени отделно в хронологията. Когато удостоверяването успее, но маршрутите или разрешаването на имена се провалят, интересният етап е след ръкостискането и отслабването на проверката на сертификата няма да го докосне.

Тествайте отново събитието, започнало доклада

Възпроизведете оригиналната последователност, а не опростена нейна версия: първоначално свързване, приложението, което се провали, и обикновено повторно свързване след смяна на мрежата. Тунел, който се вдига при тестови условия и все още пада по пътя на повторното свързване, не е поправен и разликата обикновено отбелязва къде живее истинският дефект. Доклад, който пропуска стъпката на повторно свързване, затваря бъг, който още е отворен.

Вземете поддържания профил на оператора или поправката на доставчика по проверения канал, вместо да връщате всичко назад. Широкото понижаване връща и каквито и да е поправки за сигурност, които актуализацията е носила, а тази размяна рядко си струва една работеща връзка.