Zastaralé řádky šifer ve starých profilech VPN: přečtěte si je před kopírováním

Tento profil byl napsán v roce 2016 a stále se importuje a stále se připojuje. Právě proto se na něj nikdo nedívá. Klient, který tyto direktivy kdysi četl, je dávno pryč, a současné sestavení může některé z nich vykládat jinak.

To, že soubor přežil, neznamená, že konfigurace je aktuální. Rozdělení těchto dvou představ je většina práce.

Zjistěte, který klient profil napsal

Začněte u vydavatele a verze. Význam direktivy určuje implementace, která ji čte. Řádek, který kdysi vybíral algoritmus, se může stát záložním seznamem, varováním nebo tvrdou chybou. Které vydání ji vykládá, rozhoduje výsledek.

OpenVPN je nejjasnější příklad. Verze 2.5 zavedla data-ciphers a změnila, jak se starší direktiva cipher účastní vyjednávání. Profil, který nese jen cipher AES-128-CBC, nyní nabízí mnohem užší návrh, než jeho autor zamýšlel.

Přečtěte si poznámky k vydání pro nastavení, které nyní varuje nebo selhává. Varování v logu je fakt o současném sestavení a je silnější než číkoliv vzpomínka na to, proč byl řádek přidán.

Podívejte se, co se skutečně vyjednalo

Úspěšný import dokazuje vykládání, ne politiku. Vyjednaný výsledek se objeví v logu klienta po navázání spojení. Může se lišit od obou konců konfiguračního souboru.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

Přijatý import, který tiše zahodí direktivu, zanechá profil, který se čte jedním způsobem a chová se jiným. Právě touto mezerou dokument označený jako zpevněný vyjedná něco slabšího, než tvrdí jeho vlastní text. Log je jediné místo, kde se rozdíl ukáže. Přečtěte si ho, než souboru uvěříte.

Aktualizujte uspořádání, ne řádek

Vezměte profil, který udržuje operátor, místo skládání názvů algoritmů, dokud si import nepřestane stěžovat. Přidávání řádků pokusem obrací směr opravy. Přizpůsobuje klienta neznámému serveru, místo aby zjistilo, co server podporuje.

Server může potřebovat i koordinovanou aktualizaci. Současný klient nedokáže vytvořit podporu pro návrh, který protějšek nikdy nenabídne. Žádná volba na straně klienta nenahradí bránu, která nebyla aktualizována.

To, co se nesmí obětovat, je ověřování. Odstraňování kontrol certifikátů, vypínání kontroly názvu hostitele nebo vypínání aktualizací, aby starý profil zůstal živý, mění problém kompatibility na problém důvěry. Obvykle se to děje po jedné malé úpravě.

Potvrďte výsledek a zaznamenejte výjimku

Po změně znovu prohlédněte vyjednanou sadu a otestujte zdroj, kvůli kterému tunel existuje. Profil, který vyjedná, co jste zamýšleli, a přesto nedosáhne služby, má problém se směrováním nebo identitou. Kryptografický problém nemá.

Uchovejte předchozí osvědčenou konfiguraci na chráněném místě. Srovnání je možné jen dokud starý soubor ještě existuje.

Zdokumentujte každou výjimku kompatibility s vlastníkem a datem revize. Dočasné opatření, které nikomu nepatří, se stane trvalou politikou. Další člověk, který soubor přečte, bude předpokládat, že bylo zvoleno záměrně.