Går VPN ned efter en klientopdatering? Sammenlign forhandlingen

Opdateringer erstatter den komponent, der fortolker din profil og forhandler tunnelen. Den første fejl efter en opgradering er bevis om en bestemt ændring, ikke en dom over udgivelsen. At gemme den fejl sammen med version og tidsstempel er det mest værdifulde skridt, du kan tage, før du geninstallerer noget som helst.

To mekanismer forklarer de fleste af disse brud. At skille dem ad er arbejdet.

Hvad forhandlingen ændrede under dig

OpenVPN forhandler datakanalens cipher i stedet for at tage den fra en enkelt direktiv, og de valgmuligheder, der styrer den forhandling, har skiftet betydning gennem udgivelser. En profil skrevet til en ældre klient kan forbinde og derefter undlade at blive enig om en datakanal, hvilket viser sig som en afbrydelse i stedet for en tydelig konfigurationsfejl. Nyere udgivelser strammer også ældre adfærd eller fjerner den og leverer en kompatibilitetstilstand til parter, der endnu ikke er flyttet. En opgradering kan derfor ødelægge en fungerende profil uden at røre en enkelt byte i filen.

Virkningen på klienten er asymmetrisk. Kontrolkanalen kommer op, godkendelsen lykkes, og tunnelen dør bagefter, hvilket er signaturen på uenighed i forhandlingen og ikke på en afvist profil.

Læs den installerede version, før du teoretiserer om serveren. Den streng er en lokal kendsgerning, du kan kontrollere uden at bede nogen om adgang.

Profilen kan fortolkes og betyde noget andet

En direktiv, der overlever fortolkning, er ikke nødvendigvis en direktiv, der stadig gør, hvad dens forfatter havde til hensigt. Valgmuligheder kan accepteres af hensyn til kompatibilitet og ignoreres, omdøbes eller anvendes i et snævrere tilfælde end før. Fordi intet giver en fejl, ser profilen korrekt ud, mens adfærden under den er ændret. Netop den tavshed gør disse regressioner dyre.

Spørg, hvilke linjer der faktisk er ansvarlige for det forhandlede resultat, og hold dem derefter op mod dokumentationen for den version, du kører nu. Den sammenligning er kort, og den er forskellen mellem en rettelse og en tilbagerulning.

openvpn --version | head -n 2
openvpn --show-ciphers | head -n 10
grep -nE '^(cipher|data-ciphers|ncp-|tls-)' office.ovpn

Platformen flyttede sig samtidig

Klientudgivelser kommer sjældent alene. En opdatering af styresystemet, en tilladelsesanmodning, der nu kræver en udtrykkelig bevilling, eller en administreret politik anvendt på enheden kan lande i samme uge og give en fejl, som klienten får skylden for. Mobile platforme tilføjer deres eget lag, fordi appen beder systemet om en tunnel, og systemet bestemmer, hvad den tunnel må rute.

Skriv de ændringer ned separat i tidslinjen. Når godkendelsen lykkes, men ruter eller navneopslag fejler, er det interessante trin efter håndtrykket, og en svækkelse af certifikatvalideringen rører ikke ved det.

Test hændelsen, der startede rapporten, igen

Gengiv den oprindelige sekvens i stedet for en forenklet version: den første forbindelse, det program, der fejlede, og en almindelig genopkobling efter en netværksændring. En tunnel, der kommer op under testforhold og stadig falder på genopkoblingsvejen, er ikke rettet, og forskellen markerer normalt, hvor den egentlige fejl ligger. En rapport, der udelader genopkoblingstrinnet, lukker en fejl, der stadig er åben.

Få operatørens understøttede profil eller leverandørens rettelse gennem den verificerede kanal i stedet for at rulle alt tilbage. En bred nedgradering gendanner også de sikkerhedsrettelser, opdateringen bragte, og den handel er sjældent én fungerende forbindelse værd.