Cyfluniad VPN cyhoeddus wedi stopio gweithio? Darllenwch y cam methiant

Roedd y proffil yn gweithio ddydd Mawrth, ac ar ddydd Gwener mae'r cleient yn troi am dri deg eiliad ac yn rhoi'r gorau iddi. Nid oes dim wedi newid ar eich peiriant. Dyna'n union y pwynt: mae cyfluniad a lawrlwythwyd yn disgrifio un gwesteiwr ar un moment, ac nid oes dyletswydd ar y gweithredwr ar yr ochr arall i gadw'r disgrifiad hwnnw'n wir. Y demtasiwn yw dechrau golygu gosodiadau diogelwch nes bod y twnnel yn dod yn ôl i fyny. Y reddf honno yw'r rheswm pam y mae pobl yn gorffen gyda phroffil a dilysu tystysgrifau wedi'i analluogi, sy'n waeth na pheidio â chael twnnel o gwbl.

Mae'r ffeil yn disgrifio moment, nid contract

Mae ffeil cyfluniad yn set o haeriadau: mae'r enw gwesteiwr hwn yn gwrando ar y porth hwn gyda'r protocol hwn, yn cyflwyno tystysgrif sy'n cyfateb i'r enw hwn, ac yn derbyn y manylion mewngofnodi hyn. Pan fydd unrhyw un ohonynt yn peidio â bod yn wir, mae'r ffeil yn hen ac mae'r atgyweiriad yn perthyn i ochr y gweithredwr o'r ffin, nid i'ch gosodiadau chi.

Rhestrau nodau cyhoeddus yn gwneud hyn yn amlwg wrth eu natur. Mae gwirfoddolwyr yn rhedeg y nodau, maent yn ymddangos ac yn diflannu, mae cyfeiriadau'n cael eu hailgylchu ac mae pyrth yn cael eu blocio gan y rhwydwaith y maent y tu ôl iddo. Mae'r rhestr yn snapshot sy'n cael ei ailgynhyrchu, ac mae'r copi ar eich disg yn ffotograff o snapshot hŷn.

Mae gwasanaethau masnachol yn newid yn arafach ond nid byth. Mae awdurdodau tystysgrifau'n cylchdroi, mae gwrandäwr yn symud o gyfeiriad a rennir i un penodol, mae hen brotocol yn cael ei ymddeol ac mae rhestr cipher newydd yn dod i law. Mae pob un ohonynt yn anweledig nes bod eich cleient yn ceisio cysylltu ac yn cael ateb gwahanol i'r un y mae'r ffeil yn ei ddisgwyl.

Darllenwch y cam methiant cyn cyffwrdd â gosodiad

Mae'r neges gwall yn dweud pa haeriad a fethodd, ac mae gan bob haeriad atgyweiriad hollol wahanol. Mae golygu cipher pan nad yw'r enw gwesteiwr yn datrys mwyach yn gwastraffu prynhawn ac yn dysgu dim i neb.

dig +short vpn.example.net
curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect}\n' --max-time 8 https://vpn.example.net:443/
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/null

Mae'r llinell ganol yn gwahanu llwybr sydd wedi'i flocio oddi wrth ysgydwad llaw wedi torri, ac mae'r drydedd yn dangos y cyhoeddwr a'r dyddiadau dilysrwydd y dystysgrif a gyflwynir mewn gwirionedd. Os nad y cyhoeddwr hwnnw yw'r un a biniodd y proffil, mae'r dystysgrif wedi newid, ac ni fydd unrhyw opsiwn ar yr ochr cleient yn gwneud yr hen bin yn gywir eto.

Newidiadau tystysgrif a hunaniaeth yw'r rhai tawel

Mae'r rhan fwyaf o fethiannau yn cyhoeddi eu hunain. Nid yw newidiadau hunaniaeth yn gwneud, oherwydd bydd cleient sy'n pinio enw tystysgrif yn gwrthod tystysgrif newydd berffaith dda gyda neges y mae llawer o bobl yn ei darllen fel gwall meddalwedd. Mae'r twnnel yn iawn. Mae'r pin yn hen.

Chwiliwch am yr opsiynau hunaniaeth cyn dod i unrhyw gasgliad:

grep -nE '^(remote|proto|auth|verify-x509-name|tls-crypt|key-direction|ca) ' profile.ovpn
openssl x509 -in profile-ca.crt -noout -subject -dates

Os yw'r proffil yn cario CA fewnosodol ac mae'r gweithredwr wedi cylchdroi i awdurdod newydd, ni all yr hen ffeil ddilysu'r gweinydd newydd. Mae disodli'r bloc CA â'r un a gyhoeddwyd gan y gweithredwr yn atgyweiriad cyfreithlon. Nid yw dileu'r gorchymyn dilysu yn un, a'r un cnociadau bysellau yw'r rhain gyda chanlyniad hollol wahanol.

Gall uwchraddiad cleient gynhyrchu'r un symptom heb unrhyw newid gan y gweithredwr. Mae opsiynau a oddefwyd yn dawel yn cael eu gwrthod, neu mae protocol darfodedig yn cael ei ddileu. Mae hwnnw'n derfyn cydnawsedd yn eich meddalwedd, ac mae'n werth profi ail broffil gyda'r un cleient cyn beio'r gweinydd.

Dim ond y gweithredwr all gyhoeddi amnewidiad dilys

Pan fydd nod yn diflannu, rhaid i'r amnewidiad ddod o'r un ffynhonnell a gyhoeddodd y gwreiddiol. Mae proffil sy'n cyrraedd mewn neges uniongyrchol oherwydd ei fod „yn defnyddio'r un enw gweinydd” yn gyfluniad heb ei ddilysu gan barti anhysbys, ac mae ei fewnforio yn rhoi rheolaeth dros eich llwybro i'r parti hwnnw.

Mae'r gwiriad yn rhad. Estynnwch y ffeil gyfredol o'r lleoliad cyhoeddedig, cymharwch y pwynt terfyn a'r protocol â'r rhestr, a chadarnhewch ôl bys y deunydd CA yn lle ymddiried yn enw'r ffeil:

curl -sS -o current.ovpn https://example.org/nodes/current.ovpn
sha256sum current.ovpn profile.ovpn
grep -nE '^(remote|proto) ' current.ovpn

Os yw'r ddau hash yn gwahaniaethu mewn gofod gwyn yn unig, mae gennych newid fformatio. Os ydynt yn gwahaniaethu mewn pwyntiau terfyn, mae'r gweithredwr wedi symud rhywbeth a'r ffeil gyhoeddedig yw'r awdurdod. Os yw'r ffeil gyhoeddedig yn hŷn na'r un sydd gennych, rydych yn ôl pob tebyg yn edrych ar storfa, a bydd yr ateb hen yn eich anfon i'r cyfeiriad anghywir.

Ymddeolwch yr hen gofnod a chofnodwch beth ddigwyddodd

Unwaith y bydd amnewidiad gweithredol wedi'i ddilysu, dilëwch yr hen broffil yn hytrach na'i gadw fel cwympwr yn ôl. Mae hen gofnod sy'n cysylltu'n hanner yn fagl: bydd yn cael ei ddewis yn ystod diffyg, bydd yn methu'n araf, a bydd y person sy'n dadfygio yn treulio'r deng munud cyntaf ar y ffeil anghywir.

Cadwch gofnod byr y tu allan i'r cyfluniad: y dyddiad, yr hen bwynt terfyn, y cam methiant, a'r hyn a'i disodlodd. Mae nodau cyhoeddus yn troi, a chwe wythnos yn ddiweddarach daw'r un cwestiwn gyda pherson gwahanol. Mae un llinell mewn ffeil nodiadau yn ei ateb mewn eiliadau.

Os bydd pob nod yn methu yr un ffordd o un rhwydwaith ac nad oes yr un yn methu o'r llall, rhowch y gorau i olygu proffiliau a chymerwch olwg ar y llwybr lleol. Bydd porthol gaeth, ystod pyrth wedi'i hidlo neu brocsi sy'n rhyng-gipio yn cynhyrchu'r un gwallau ar draws darparwyr annibynnol, a'r patrwm hwnnw yw'r unig arwydd nad oedd y broblem fyth yn y ffeil.