Zastarjele linije šifri u starim VPN profilima: pročitajte prije kopiranja

Ovaj profil, napisan 2016, još se uvozi i još se povezuje. Upravo zato niko ne gleda u njega. Klijent koji je nekada čitao ove direktive odavno je nestao, a trenutna verzija neke od njih može tumačiti drugačije.

To što je datoteka preživjela ne znači da je konfiguracija aktuelna. Razdvajanje te dvije ideje je veći dio posla.

Saznajte koji je klijent napisao profil

Počnite od izdavača i verzije. Značenje direktive definiše implementacija koja je čita. Linija koja je nekada birala algoritam može postati rezervna lista, upozorenje ili tvrda greška. Koje izdanje je tumači odlučuje ishod.

OpenVPN je najjasniji primjer. Verzija 2.5 uvela je data-ciphers i promijenila kako starija direktiva cipher učestvuje u pregovorima. Profil koji nosi samo cipher AES-128-CBC sada daje mnogo užu ponudu nego što je autor namjeravao.

Pročitajte napomene o izdanju za postavku koja sada upozorava ili ne uspijeva. Upozorenje u dnevniku činjenica je o trenutnoj verziji i važnije je od bilo čijeg sjećanja na to zašto je linija dodata.

Pogledajte šta je zapravo dogovoreno

Uspješan uvoz dokazuje tumačenje, ne politiku. Dogovoreni rezultat pojavljuje se u dnevniku klijenta nakon uspostavljanja veze. Može se razlikovati od oba kraja konfiguracijske datoteke.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

Prihvaćen uvoz koji tiho odbaci direktivu ostavlja profil koji se čita na jedan način, a ponaša na drugi. Taj jaz objašnjava kako dokument označen kao ojačan dogovara nešto slabije nego što tvrdi njegov vlastiti tekst. Dnevnik je jedino mjesto gdje se razlika vidi. Pročitajte ga prije nego što povjerujete datoteci.

Nadogradite raspored, ne liniju

Uzmite profil koji održava operater umjesto sastavljanja naziva algoritama dok uvoz ne prestane da se žali. Dodavanje linija probom okreće smjer ispravke. Ono prilagođava klijent nepoznatom serveru umjesto da utvrdi šta server podržava.

Serveru može trebati i usklađena nadogradnja. Trenutni klijent ne može stvoriti podršku za ponudu koju partner nikada ne nudi. Nijedna opcija na strani klijenta ne zamjenjuje mrežni prolaz koji nije ažuriran.

Ono što se ne smije žrtvovati jeste provjera. Uklanjanje provjera certifikata, isključivanje provjere imena hosta ili isključivanje ažuriranja da bi stari profil ostao živ pretvara problem kompatibilnosti u problem povjerenja. To se obično događa po jedna mala izmjena.

Potvrdite rezultat i zabilježite izuzetak

Nakon promjene ponovo pregledajte dogovoreni skup i testirajte resurs zbog kojeg tunel postoji. Profil koji dogovori ono što ste namjeravali i još ne dosegne uslugu ima problem s usmjeravanjem ili identitetom. Nema kriptografski problem.

Držite prethodnu provjerenu konfiguraciju na zaštićenom mjestu. Poređenje je moguće samo dok stara datoteka još postoji.

Dokumentujte svaki izuzetak kompatibilnosti s vlasnikom i datumom pregleda. Privremeno rješenje bez vlasnika postaje trajna politika. Sljedeća osoba koja pročita datoteku pretpostavit će da je izabrano namjerno.