Bricht das VPN nach einem Client-Update? Vergleichen Sie die Aushandlung

Updates ersetzen die Komponente, die Ihr Profil auswertet und den Tunnel aushandelt. Der erste Fehler nach einem Upgrade ist ein Beleg für eine bestimmte Änderung, kein Urteil über die Version. Diesen Fehler mit Version und Zeitstempel zu sichern, ist der wertvollste Schritt, den Sie vor jeder Neuinstallation tun können.

Zwei Mechanismen erklären die meisten dieser Abbrüche. Sie zu trennen ist die Arbeit.

Was sich an der Aushandlung unter Ihnen geändert hat

OpenVPN handelt die Verschlüsselung des Datenkanals aus, statt sie aus einer einzigen Direktive zu übernehmen, und die Optionen, die diese Aushandlung steuern, haben ihre Bedeutung über die Versionen hinweg geändert. Ein für einen älteren Client geschriebenes Profil kann sich verbinden und sich dann nicht auf einen Datenkanal einigen, was als Trennung statt als klarer Konfigurationsfehler erscheint. Neuere Versionen verschärfen zudem überkommenes Verhalten oder nehmen es zurück und liefern einen Kompatibilitätsmodus für Gegenstellen, die noch nicht umgestellt sind. Ein Upgrade kann ein funktionierendes Profil daher brechen, ohne auch nur ein Byte der Datei zu berühren.

Die Wirkung auf den Client ist asymmetrisch. Der Steuerkanal kommt hoch, die Anmeldung gelingt, und danach stirbt der Tunnel, was die Signatur einer Aushandlungsunstimmigkeit und nicht eines abgelehnten Profils ist.

Lesen Sie die installierte Version, bevor Sie über den Server spekulieren. Diese Zeichenkette ist ein lokaler Umstand, den Sie prüfen können, ohne jemanden um Zugang zu bitten.

Das Profil kann ausgewertet werden und etwas anderes bedeuten

Eine Direktive, die das Auswerten übersteht, ist nicht zwangsläufig eine Direktive, die noch tut, was ihr Verfasser beabsichtigte. Optionen können aus Kompatibilitätsgründen angenommen und ignoriert, umbenannt oder in einem engeren Fall als zuvor angewendet werden. Weil nichts einen Fehler meldet, sieht das Profil richtig aus, während sich das Verhalten darunter geändert hat. Genau diese Stille macht solche Regressionen teuer.

Fragen Sie, welche Zeilen tatsächlich für das ausgehandelte Ergebnis verantwortlich sind, und gleichen Sie sie dann mit der Dokumentation der Version ab, die Sie jetzt ausführen. Dieser Vergleich ist kurz, und er ist der Unterschied zwischen einer Korrektur und einem Zurückrollen.

openvpn --version | head -n 2
openvpn --show-ciphers | head -n 10
grep -nE '^(cipher|data-ciphers|ncp-|tls-)' office.ovpn

Die Plattform hat sich gleichzeitig bewegt

Client-Versionen kommen selten allein. Ein Betriebssystem-Update, eine Berechtigungsabfrage, die nun eine ausdrückliche Freigabe verlangt, oder eine auf dem Gerät angewandte verwaltete Richtlinie können in derselben Woche eintreffen und einen Fehler erzeugen, für den der Client verantwortlich gemacht wird. Mobile Plattformen fügen eine eigene Ebene hinzu, weil die App das System um einen Tunnel bittet und das System entscheidet, was dieser Tunnel weiterleiten darf.

Halten Sie diese Änderungen getrennt in der Zeitachse fest. Wenn die Anmeldung gelingt, aber Routen oder Namensauflösung scheitern, liegt der interessante Abschnitt nach dem Handshake, und eine abgeschwächte Zertifikatsprüfung wird ihn nicht berühren.

Testen Sie das Ereignis erneut, das den Bericht ausgelöst hat

Reproduzieren Sie die ursprüngliche Abfolge statt einer vereinfachten Fassung: die erste Verbindung, die Anwendung, die scheiterte, und ein gewöhnliches erneutes Verbinden nach einem Netzwerkwechsel. Ein Tunnel, der unter Testbedingungen hochkommt und auf dem Weg des erneuten Verbindens dennoch abbricht, ist nicht behoben, und der Unterschied markiert meist, wo der eigentliche Defekt sitzt. Ein Bericht, der den Schritt des erneuten Verbindens auslässt, schließt einen Fehler, der noch offen ist.

Holen Sie das unterstützte Profil des Betreibers oder die Korrektur des Herstellers über den verifizierten Kanal, statt pauschal zurückzurollen. Ein breites Downgrade stellt auch alle Sicherheitskorrekturen wieder her, die das Update mitbrachte, und dieser Tausch ist selten eine funktionierende Verbindung wert.