Handler den OpenVPN-sikkerhedsrettelse overhovedet om din installation?

Rådet om at patche klienten, så den validerer certifikater, er for vagt til at handle på. Det kan beskrive en rettet softwarefejl, et gammelt build fra én udbyder eller en profil, der aldrig bad om kontrollen. Det er tre forskellige ændringer med tre forskellige ejere. At handle på sætningen uden at vide, hvilken af dem du står over for, er hvordan en fungerende klient bliver ændret uden grund.

Adskil de tre påstande

En softwarefejl har en sikkerhedsmeddelelse, påvirkede versioner og en rettet udgivelse. Et udbyderbuild har sin egen distributionskanal og sin egen opdateringsrytme. En profiludeladelse har ingen af delene, fordi den kørende fil er i orden, og konfigurationen beder om mindre, end du antog. Indtil påstanden navngiver en af de tre, er der intet at teste.

Skriv påstanden i én sætning, før du søger efter den. Hvis sætningen ikke kan navngive, hvad der er i stykker, har søgningen intet mål, og hvert resultat ser relevant ud.

Find den kørende fil, der faktisk kører

Find ud af, hvad der starter forbindelsen, før du ser på nogen version. En distributionstjeneste, et skrivebordsplugin og et leverandørapplikation kan hver især bruge en anden kørende fil eller motor. En version, der udskrives af hvilken som helst binær, der tilfældigvis ligger i shellens søgesti, er ikke en fortegnelse over maskinen. Læs den enhed eller proces, der faktisk udførte forbindelsen.

systemctl cat openvpn-client@*.service
ps -o pid,cmd -C openvpn
apt-cache policy openvpn network-manager-openvpn

Pakkeanmodningen rapporterer, hvad lokale metadata mener er installeret og tilgængeligt, og den cache kan være forældet, så opdater den først. Den siger heller intet om, hvorvidt den kørende tjeneste indlæste en binær, der blev installeret for fem minutter siden. Sammenlign pakkeregistret med den proces, der faktisk er forbundet.

Pakkebevis i stedet for versionindtryk

Distributionsvedligeholdelse tilbageporterer ofte rettelser, så en ældre udseende upstream-version kan stadig indeholde patchen. Det omvendte gælder også: en pakke fra et ukendt lager har ingen automatisk ret til aktuel vedligeholdelse. Læs udgivelsens supportstatus frem for versionsnummeret.

Den forskel er forskellen mellem et reelt hul og et tal, der blot ser gammelt ud. Notér det lager, pakken kom fra, fordi den samme versionsstreng kan ankomme ad meget forskellige kanaler med meget forskellig support.

Konfigurationen er den anden halvdel

En vedligeholdt kørende fil har stadig brug for en profil, der beder om de kontroller, du tror er på plads. Tillidsankre, modpartens tilsigtede rolle og det forventede servernavn er beslægtede, men adskilte beslutninger. En rolecheck er ikke et navnecheck, og ingen af dem erstatter den anden. Hvis advarslen handler om konfiguration, tilhører rettelsen den, der ejer profilen.

Installer ikke en vilkårlig patch for at kompensere for en uverificeret profil, og tilføj ikke en direktiv for at reparere en ægte implementeringsfejl. Begge fejl føles som fremskridt, og derfor fortsætter begge med at ske.

Beslut med bevis i registret

Beslutningen følger af det, du har fastslået. En dokumenteret påvirket pakke kræver sin understøttede opdatering, en ikke-understøttet platform har brug for en migreringsvej, og en udbyderklient har brug for den udbyders vejledning. En tvetydig instruktion har brug for en sikkerhedsmeddelelse og en påvirket komponent, før nogen af disse gælder.

Hold den aktive klient, den fulde version, sikkerhedsmeddelelsen og profilejeren sammen i ændringsregistret. Det er stærkere end en tutorialreference, og det er, hvad den næste person faktisk får brug for.