Línies de xifrat obsoletes en perfils VPN antics: llegiu-les abans de copiar

Aquest perfil es va escriure el 2016 i encara s’importa i encara es connecta. És exactament per això que ningú no el mira. El client que un dia llegia aquestes directives fa temps que no hi és, i la compilació actual pot interpretar-ne diverses de manera diferent.

Que un fitxer sobrevisqui no vol dir que la configuració estigui al dia. Separar aquestes dues idees és la major part de la feina.

Esbrineu quin client va escriure el perfil

Comenceu per l’emissor i la versió. El significat d’una directiva el defineix la implementació que la llegeix. Una línia que un dia triava un algorisme pot esdevenir una llista de reserva, un avís o un error dur. Quina versió la interpreta decideix el resultat.

OpenVPN n’és la il·lustració més clara. La versió 2.5 va introduir data-ciphers i va canviar com la directiva més antiga cipher participa en la negociació. Un perfil que només porta cipher AES-128-CBC ara fa una proposta molt més estreta del que el seu autor pretenia.

Llegiu les notes de la versió per al paràmetre que ara avisa o falla. Un avís al registre és un fet sobre la compilació actual, i val més que el record de qualsevol sobre per què es va afegir la línia.

Mireu què s’ha negociat realment

Que la importació funcioni demostra l’anàlisi, no la política. El resultat negociat apareix al registre del client quan la connexió s’aixeca. Pot diferir dels dos extrems del fitxer de configuració.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

Una importació acceptada que descarta una directiva en silenci deixa un perfil que es llegeix d’una manera i es comporta d’una altra. Aquest buit és com un document etiquetat com a endurit negocia una cosa més feble del que afirma el seu propi text. El registre és l’únic lloc on es veu la diferència. Llegiu-lo abans de confiar en el fitxer.

Actualitzeu la disposició, no la línia

Agafeu el perfil mantingut per l’operador en lloc de muntar noms d’algorismes fins que la importació deixi de queixar-se. Afegir línies per prova reverteix la direcció de la correcció. Adapta el client a un servidor desconegut en lloc d’establir què suporta el servidor.

Potser el servidor també necessita l’actualització coordinada. Un client actual no pot crear suport per a una proposta que l’altre extrem mai no ofereix. Cap opció del costat del client substitueix una passarel·la que no s’ha actualitzat.

El que no s’ha de sacrificar és la verificació. Treure les comprovacions de certificats, desactivar la comprovació del nom d’amfitrió o apagar les actualitzacions per mantenir viu un perfil antic converteix un problema de compatibilitat en un problema de confiança. Normalment passa amb una petita edició alhora.

Confirmeu el resultat i registreu l’excepció

Després del canvi, torneu a inspeccionar el conjunt negociat i proveu el recurs pel qual existeix el túnel. Un perfil que negocia el que volíeu i tot i així no arriba al servei té un problema d’encaminament o d’identitat. No en té un de criptogràfic.

Guardeu la configuració anterior que se sabia bona en un lloc protegit. Només es pot comparar mentre el fitxer antic encara existeixi.

Documenteu qualsevol excepció de compatibilitat amb un responsable i una data de revisió. Un acord temporal que ningú no posseeix es converteix en política permanent. La propera persona que llegeixi el fitxer assumirà que es va triar deliberadament.