La VPN es trenca després d’una actualització del client? Compareu la negociació

Les actualitzacions substitueixen el component que analitza el vostre perfil i negocia el túnel. La primera fallada després d’una actualització és evidència sobre un canvi concret, no un veredicte sobre la versió. Desar aquest error amb la seva versió i la seva marca temporal és el pas més valuós que podeu fer abans de reinstal·lar res.

Dos mecanismes expliquen la major part d’aquestes ruptures. Separar-los és la feina.

Què ha canviat la negociació sota els vostres peus

OpenVPN negocia el xifratge del canal de dades en lloc d’agafar-lo d’una única directiva, i les opcions que controlen aquesta negociació han canviat de significat entre versions. Un perfil escrit per a un client més antic es pot connectar i després no arribar a un acord sobre un canal de dades, cosa que es manifesta com una desconnexió en lloc d’un error de configuració clar. Les versions més noves també endureixen o retiren comportaments heretats i inclouen un mode de compatibilitat per als iguals que encara no s’han mogut. Per tant, una actualització pot trencar un perfil que funcionava sense tocar ni un byte del fitxer.

L’efecte sobre el client és asimètric. El canal de control s’aixeca, l’autenticació té èxit i el túnel mor després, que és la signatura d’una discrepància de negociació i no d’un perfil rebutjat.

Llegiu la versió instal·lada abans de teoritzar sobre el servidor. Aquesta cadena és un fet local que podeu comprovar sense demanar accés a ningú.

El perfil pot analitzar-se i significar una altra cosa

Una directiva que sobreviu a l’anàlisi no és necessàriament una directiva que encara fa el que el seu autor volia. Les opcions es poden acceptar per compatibilitat i ignorar-se, canviar de nom o aplicar-se en un cas més estret que abans. Com que res no dona error, el perfil sembla correcte mentre el comportament que hi ha a sota ha canviat. Aquest silenci és el que fa costoses aquestes regressions.

Pregunteu quines línies són realment responsables del resultat negociat i després compareu-les amb la documentació de la versió que executeu ara. Aquesta comparació és curta i és la diferència entre una correcció i una reversió.

openvpn --version | head -n 2
openvpn --show-ciphers | head -n 10
grep -nE '^(cipher|data-ciphers|ncp-|tls-)' office.ovpn

La plataforma s’ha mogut al mateix temps

Les versions del client poques vegades arriben soles. Una actualització del sistema operatiu, un avís de permís que ara exigeix una concessió explícita o una política gestionada aplicada al dispositiu poden arribar la mateixa setmana i produir una fallada que es retreu al client. Les plataformes mòbils afegeixen una capa pròpia, perquè l’aplicació demana un túnel al sistema i el sistema decideix què pot encaminar aquest túnel.

Registreu aquests canvis per separat a la línia temporal. Quan l’autenticació té èxit però fallen les rutes o la resolució de noms, l’etapa interessant és després de l’encaixada de mans, i afeblir la validació del certificat no hi tocarà.

Torneu a provar l’esdeveniment que va iniciar l’informe

Reproduïu la seqüència original i no una versió simplificada: la connexió inicial, l’aplicació que va fallar i una reconnexió ordinària després d’un canvi de xarxa. Un túnel que s’aixeca en condicions de prova i encara cau al camí de reconnexió no s’ha arreglat, i la diferència sol assenyalar on viu el defecte real. Un informe que omet el pas de reconnexió tanca un error que encara és obert.

Obteniu el perfil compatible de l’operador o la correcció del proveïdor pel canal verificat en lloc de revertir-ho tot. Una baixada de versió àmplia també restaura les correccions de seguretat que duia l’actualització, i aquest intercanvi poques vegades val una connexió que funcioni.