Geht es bei diesem OpenVPN-Sicherheitsfix überhaupt um Ihre Installation?

Der Rat, den Client zu patchen, damit er Zertifikate prüft, ist zu vage, um danach zu handeln. Er kann einen behobenen Softwarefehler, einen alten Build eines Anbieters oder ein Profil beschreiben, das die Prüfung nie verlangt hat. Das sind drei verschiedene Änderungen mit drei verschiedenen Verantwortlichen. Auf diesen Satz hin zu handeln, ohne zu wissen, welche der drei vorliegt, ist der Weg, einen funktionierenden Client ohne Grund zu verändern.

Trennen Sie die drei Behauptungen

Ein Softwarefehler hat eine Sicherheitsmeldung, betroffene Versionen und eine korrigierte Veröffentlichung. Ein Anbieter-Build hat seinen eigenen Vertriebskanal und sein eigenes Update-Tempo. Eine Profilauslassung hat beides nicht, denn die ausführbare Datei ist in Ordnung, und die Konfiguration verlangt weniger, als Sie angenommen haben. Solange die Behauptung keine dieser drei nennt, gibt es nichts zu testen.

Schreiben Sie die Behauptung in einem Satz auf, bevor Sie danach suchen. Wenn der Satz nicht benennen kann, was defekt ist, hat die Suche kein Ziel, und jedes Ergebnis wirkt relevant.

Finden Sie die ausführbare Datei, die wirklich läuft

Bestimmen Sie, was die Verbindung startet, bevor Sie irgendeine Version ansehen. Ein Distributionsdienst, ein Desktop-Plugin und eine Anbieteranwendung können jeweils eine andere ausführbare Datei oder Engine verwenden. Eine Version, die irgendein Binärprogramm ausgibt, das zufällig im Suchpfad der Shell liegt, ist keine Bestandsaufnahme des Rechners. Lesen Sie die Unit oder den Prozess, der die Verbindung tatsächlich hergestellt hat.

systemctl cat openvpn-client@*.service
ps -o pid,cmd -C openvpn
apt-cache policy openvpn network-manager-openvpn

Die Paketabfrage meldet, was lokale Metadaten für installiert und verfügbar halten, und dieser Cache kann veraltet sein, also aktualisieren Sie ihn zuerst. Sie sagt auch nichts darüber, ob der laufende Dienst ein vor fünf Minuten installiertes Binärprogramm geladen hat. Vergleichen Sie den Paketdatensatz mit dem Prozess, der tatsächlich verbunden ist.

Paketbelege statt Versionseindrücke

Die Sicherheitswartung von Distributionen übernimmt häufig Korrekturen rückwärts, sodass eine älter wirkende Upstream-Version den Patch noch enthalten kann. Auch das Umgekehrte gilt: Ein Paket aus einem unbekannten Repository hat keinen automatischen Anspruch auf aktuelle Wartung. Lesen Sie den Supportstatus der Veröffentlichung statt der Versionsnummer.

Dieser Unterschied ist der Unterschied zwischen einer echten Lücke und einer Zahl, die nur alt aussieht. Notieren Sie das Repository, aus dem das Paket kam, denn derselbe Versionsstring kann über sehr unterschiedliche Kanäle mit sehr unterschiedlichem Support ankommen.

Die Konfiguration ist die andere Hälfte

Eine gepflegte ausführbare Datei braucht trotzdem ein Profil, das die Prüfungen verlangt, die Sie für vorhanden halten. Vertrauensanker, die vorgesehene Rolle der Gegenstelle und der erwartete Servername sind verwandte, aber getrennte Entscheidungen. Eine Rollenprüfung ist keine Namensprüfung, und keine ersetzt die andere. Wenn die Warnung die Konfiguration betrifft, gehört die Korrektur demjenigen, der das Profil besitzt.

Installieren Sie keinen beliebigen Patch, um ein ungeprüftes Profil auszugleichen, und fügen Sie keine Direktive hinzu, um einen echten Implementierungsfehler zu reparieren. Beide Fehler fühlen sich wie Fortschritt an, deshalb passieren beide weiterhin.

Entscheiden Sie mit Belegen im Datensatz

Die Entscheidung folgt aus dem, was Sie festgestellt haben. Ein dokumentiertes betroffenes Paket verlangt sein unterstütztes Update, eine nicht unterstützte Plattform braucht einen Migrationspfad, und ein Anbieter-Client braucht die Anleitung dieses Anbieters. Eine mehrdeutige Anweisung braucht eine Sicherheitsmeldung und eine betroffene Komponente, bevor irgendetwas davon gilt.

Halten Sie den aktiven Client, die vollständige Version, die Sicherheitsmeldung und den Profileigentümer zusammen im Änderungsdatensatz fest. Das ist stärker als ein Tutorial-Verweis, und es ist, was die nächste Person tatsächlich brauchen wird.