Pam y stopiodd OpenVPN gysylltu ar ôl uwchraddio Ubuntu?

Mae proffiliau VPN a oedd yn gweithio yr wythnos diwethaf yn torri ar ôl uwchraddio rhyddhau Ubuntu, ac anaml y mae'r log yn sôn am yr uwchraddiad o gwbl. Yr hyn y mae'n ei enwi yw'r haen a fethodd: ysgwyd llaw TLS, y sifr a negydwyd ar gyfer y sianel ddata, y pecyn a osodwyd, neu'r gopi o OpenSSL y mae'r deuaidd yn ei lwytho wrth gychwyn. Mae gan bob haen ei ffurf gwall a'i thrwsio ei hun, sy'n gwneud dosbarthu yn waith cyntaf a golygu yn ail. Triniwch y proffil fel un diniwed nes i'r log ei enwi.

Pa haen a fethodd: ysgwyd llaw, sifr, pecyn neu lyfrgell

Darllenwch log y cleient cyn cyffwrdd â'r proffil. y gwall cynharaf yn yr allbwn yw'r un sy'n nodi'r haen; mae popeth a argraffir ar ei ôl fel arfer yn ganlyniad i'r methiant cyntaf hwnnw. Pan na fydd y cleient yn cychwyn o gwbl, y log VPN yw'r ffeil anghywir i'w hagor.

Mae cwynion am dystysgrifau a llofnodion, neu neges am hyd allwedd, yn dod o'r sianel reoli a'r polisi llyfrgell sy'n ei rheoli. Mae rhybudd sy'n dechrau gyda DEPRECATED OPTION yn perthyn i negydu'r sianel ddata yn lle hynny.

Mae llinell fel Unrecognized option yn drydedd gategori: nid yw'r deuaidd newydd bellach yn derbyn cyfarwyddeb a oddefai'r hen un, felly mae angen ailysgrifennu'r proffil yn hytrach na llacio'r llyfrgell. Mae methiannau pecynnu yn edrych yn wahanol eto oherwydd eu bod yn digwydd cyn i unrhyw god tiwnel redeg. Mae deuaidd coll, ategyn na fydd yn llwytho, neu ystorfa sy'n pwyntio at goden anghywir i gyd yn cynhyrchu'r ffurf honno. Pedwar symptom, pedwar lle i edrych, a bron dim gorgyffwrdd rhwng y trwsiadau.

Pan fydd yr ysgwyd llaw yn methu, mae'r polisi TLS yn gwrthod y dystysgrif

Symudodd Ubuntu 22.04 y system i OpenSSL 3, ac mae'r lefel diogelwch ddiofyn yn y gangen honno'n llymach ynghylch llofnodion tystysgrifau a meintiau allweddi nag yr oedd 20.04. Mae tystysgrif CA a lofnodwyd â thrawsgrynhoad hŷn, neu allwedd o dan y trothwy presennol, nawr yn methu yn ystod yr ysgwyd llaw. Gan na ddigwyddodd unrhyw ddilysu eto, mae'r gwall yn darllen fel cyfrinair anghywir neu weinydd marw.

Mae'r trwsiad cul yn gysylltu llinyn sifr â'r cysylltiad hwn yn unig. Yn y golygydd bwrdd gwaith, agorwch y proffil, ewch i'r gosodiadau uwch, a rhowch DEFAULT:@SECLEVEL=0 yn y maes sifr TLS. Mae ffeil allwedd NetworkManager yn cymryd yr un gwerth o dan [vpn]:

[vpn]
tls-cipher=DEFAULT:@SECLEVEL=0

Ailgychwynnwch NetworkManager a chysylltwch eto, oherwydd mae'r daemon yn cacheio proffiliau wedi'u dosrannu ac fel arall bydd yn parhau i ddefnyddio'r gopi sydd ganddo eisoes. Gwybyddwch beth mae'r llinell yn ei wneud cyn ei chadw: trothwy ar draws sawl paramedr tystysgrif ac allwedd yw'r gosodiad hwnnw, nid enw sifr, felly mae ei ostwng yn ehangu'r hyn y mae'r proffil unigol yn ei dderbyn. Nodwch pa weinydd a oedd ei angen a gadewch y gosodiad pan fydd y gweithredwr yn ailddyroddi deunydd cyfredol. Mae newid /etc/ssl/openssl.cnf yn cyrraedd yr un trothwy ar gyfer pob rhaglen sy'n darllen y ffeil honno, sy'n llawer pellach na'r VPN.

Mae OpenVPN 2.6 angen y sifr wedi'i restru ar gyfer negydu

Cyflenwodd Ubuntu 22.10 OpenVPN 2.6, ac yn y rhyddhau hwnnw mae --cipher yn rhoi'r gorau i ddewis y sianel ddata ar ei ben ei hun. Rhaid i'r sifr fod yn bresennol hefyd yn y rhestr data-ciphers a negydwyd, neu bydd y cleient yn argraffu rhybudd dirywiad ac yna'n methu â chodi'r tiwnel.

Roedd ategyn NetworkManager o'r un cyfnod yn dal i ysgrifennu'r hen gyfarwyddeb yn unig. Mae'r manylyn hwnnw'n rhannu'r diagnosis, oherwydd gall proffil a gywirwyd â llaw gysylltu o gragen a pharhau i fethu o applet y bwrdd gwaith. Ychwanegwch y rhestr at y ffeil gysylltiad o dan [vpn]:

data-ciphers=AES-256-CBC

Defnyddiwch y gwerth y mae'r gweinydd yn ei hysbysebu, nid yr un yr ydych yn ei gofio; ni fydd gweinydd sy'n gwthio AES-256-GCM yn negydu â rhestr cleient sy'n enwi CBC yn unig. Ailgychwynnwch y rheolwr a chysylltwch eto, yna ailadroddwch yr ymgais o gragen gyda'r sifr wedi'i phasio'n benodol ar gyfer negydu a chwympiad ill dau:

sudo openvpn --config client.ovpn --data-ciphers AES-256-CBC --data-ciphers-fallback AES-256-CBC

Os bydd y gorchymyn hwnnw'n codi'r tiwnel, mae'r gweinydd, y tystysgrifau a'r manylion mewngofnodi i gyd yn gadarn, a'r unig fai sy'n weddill yw'r opsiwn a storiwyd gan y rheolwr. Mae rhybudd am gyfarwyddeb keysize yn perthyn i'r un glanhau: rhowch sylw iddi a chadwch y ffeil wreiddiol wrth ymyl y proffil.

Mae ffyrdd pecynnau ac ategion yn edrych fel ffyrdd VPN

Nid yw pob methiant ar ôl uwchraddio yn gryptograffig. Mae ystorfa OpenVPN a ychwanegwyd o dan goden nad yw'r rhyddhau'n ei defnyddio yn cynhyrchu pecyn na fydd byth yn gosod, felly cymharwch yr hyn y mae lsb_release -a yn ei adrodd â'r ffeil rhestr a ychwanegwyd gennych. Mae cydran universe ar goll neu boced diogelwch yn cynhyrchu pecyn na ellir ei ganfod o gwbl. Mae'r ddau achos yn gadael y proffil yn gyfan a'r tiwnel yn amhosibl.

Darllenwch wall y rheolwr pecynnau cyn y log VPN. Os na osodwyd y cleient erioed, ni fydd unrhyw faint o olygu proffil yn cynhyrchu ysgwyd llaw.

Mae proffiliau dau ffactor sy'n stopio annog yn fersiwn ategyn o'r un stori. Daw'r her o ategyn dilysu, ac mae uwchraddiad a ollyngodd neu a ddisodlodd ef yn gadael y proffil yn gyfan tra bo'r anogwr yn diflannu. Ailosodwch yr ategyn a gefnogir yn lle dileu'r ail ffactor er mwyn i'r cysylltiad weithio.

Gall llyfrgell gwerthwr guddio y tu ôl i wall polisi

Mae un patrwm yn haeddu sylw oherwydd ei fod yn trechu pob trwsiad polisi. Gall offeryn ffurfweddu gwerthwr caledwedd osod ei lyfrgelloedd OpenSSL ei hun a'u rhoi o flaen copïau'r system yn llwybr chwilio'r llwythwr. Yna mae'r cleient yn cychwyn yn erbyn llyfrgell na chafodd neb ei huwchraddio, ac mae'r methiant cychwyn yn edrych yn union fel tystysgrif a wrthodwyd.

Nid yw ailosod y pecyn VPN yn newid pa lyfrgell a geir gyntaf, ac ni all gostwng lefel TLS gyrraedd llyfrgell na ddaeth byth o'r system. Gofynnwch i'r llwythwr pa wrthrychau crypto y mae'r deuaidd yn eu datrys mewn gwirionedd:

ldd /usr/sbin/openvpn | grep -i -E 'ssl|crypto'

Tynnwch neu ailgyfeiriwch gopi'r gwerthwr, yna rhedegwch yr un gwiriad eto. Rhaid i'r fersiwn a ddisgwylir fod yr un sy'n cael ei ddefnyddio cyn i chi ddychwelyd at y proffil.

Mae pinio cleient hŷn yn prynu amser, nid yn datrys

Mae dal y fersiwn cleient blaenorol yn adfer y tiwnel cyhyd ag y bydd y dal yn para. Mae hefyd yn rhewi diweddariadau diogelwch ar gyfer y pecyn hwnnw ac yn trefnu'r un toriad ar gyfer yr uwchraddiad nesaf, felly triniwch ef fel gwaith dros dro dyddiedig yn hytrach na datrysiad.

Os ydych yn ei binio beth bynnag, daliwch y pecyn yn benodol fel na all uwchraddiad dioruchwyliaeth ddadwneud y pin, nodwch y rheswm a'r dyddiad i'w ailystyried, a gosodwch atgoffa ar gyfer rhyddhau proffil nesaf y darparwr. Yr amod sy'n werth ei wylio yw proffil gweinydd sy'n negydu sifr gyfredol; unwaith y bydd hwnnw'n bodoli, nid oes cyfiawnhad dros y pin. Mae pin heb ei gofnodi, i'r gwrthwyneb, yn dod yn doriad na all neb ei esbonio chwe mis yn ddiweddarach, oherwydd mae'r person a'i gosododd wedi symud ymlaen ac nid yw'r ffeil yn cofnodi dim.

Y tro nesaf y bydd VPN yn marw ar ôl uwchraddio rhyddhau, gofynnwch bum cwestiwn yn olynol: pa haen a gynhyrchodd y gwall cyntaf, a wrthododd polisi TLS y dystysgrif, a ellir negydu'r sifr i'r ddau gyfeiriad, a osodwyd y pecyn a'i ategyn mewn gwirionedd, a pha lyfrgell y mae'r broses yn ei llwytho. Dim ond ar ôl i'r pump ddod yn ôl yn lân y mae dadraddio yn gwneud synnwyr.