Error de cifrado débil de vpnc: ¿política de la puerta de enlace o reparación del escritorio?

Dos reparaciones parecen igual de rápidas cuando una conexión vpnc antigua se niega a levantarse: pasar el antiguo indicador de cifrado débil o introducir un script contenedor que lo añada por usted. No son equivalentes, porque una cambia la política de un solo perfil y la otra cambia el comportamiento de todos los programas que llaman a esa ruta. La primera pregunta es si la puerta de enlace sigue ofreciendo una propuesta débil, y la segunda es quién tiene permiso para aceptarla. Todo lo demás se deriva de esas dos respuestas.

Dos reparaciones con un alcance muy distinto

Un cambio a nivel de perfil toca una conexión, un propietario y una fecha de caducidad. Sustituir el binario instalado toca cada frontend de la máquina, incluido el applet de escritorio que un compañero usa para un perfil de puerta de enlace completamente distinto. El contenedor también oculta el cambio a quien depure el host seis meses después.

La verificación del paquete es la primera víctima: un archivo en /usr/sbin/vpnc que ya no coincide con su paquete convierte una actualización de seguridad rutinaria en una investigación. Entonces las actualizaciones o sobrescriben el contenedor en silencio o se niegan a aplicarse, según cómo trate el gestor de paquetes los archivos modificados. Ninguno de los dos resultados aparece en el registro de conexión, por eso el enfoque del contenedor sigue siendo atractivo hasta el primer incidente. Una sola línea en un perfil es mucho más fácil de encontrar y quitar que un binario que nadie recuerda haber sustituido.

Qué hace realmente el interruptor obsoleto

El manual de vpnc marca la opción de DES único como obsoleta en favor de un ajuste de cifrado débil, y documenta una opción separada que permite no cifrar en absoluto el tráfico de datos. Son concesiones distintas con consecuencias distintas. Ninguna de las dos hace que una puerta de enlace moderna negocie algo que ya no ofrece.

Lea la fase de fallo antes de elegir una reparación. Una propuesta rechazada y una contraseña rechazada producen mensajes de frontend similares pero pruebas completamente distintas.

Dónde corresponde una excepción limitada

Si una organización acepta conscientemente un par antiguo durante un periodo limitado, la excepción corresponde al perfil de ese par, con un propietario, una fecha de revisión y una ruta de migración a un protocolo compatible. Mantenerla fuera de la ruta global es todo el sentido de llamarla limitada.

Haga que el propietario de la puerta de enlace confirme qué algoritmos sigue proponiendo el par y qué lo sustituye. Un indicador de cliente no puede reparar una propuesta que el servidor ya no envía, y una migración de servidor que nadie programó sobrevivirá al apaño. Ponga la fecha de revisión en el mismo tique que la excepción, para que la concesión caduque en lugar de volverse permanente.

Compruebe la negociación, no solo el icono verde

Recoja pruebas que identifiquen la fase en lugar del ánimo del diálogo. Los comandos siguientes son de solo lectura, y los dos primeros muestran qué configuración y versión están realmente en juego.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

El tercer comando informa de archivos que ya no coinciden con el paquete, y así es como se delata un contenedor olvidado. El cuarto muestra las concesiones que lleva el perfil, para que una excepción no pueda extenderse en silencio a un segundo perfil mediante un archivo copiado. Ejecute ambos antes y después de un cambio, y guarde la salida con el perfil de conexión en lugar de en una ventana de chat.

Mantenga la salida de depuración fuera de los tiques hasta que alguien la haya leído, porque el manual advierte que el nivel más alto de depuración vuelca datos de autenticación, contraseñas incluidas. El criterio de aceptación es un acuerdo autorizado y compatible entre cliente y puerta de enlace, no una entrada de menú que por fin se pone verde. Si el par solo ofrece un algoritmo roto, el resultado honesto es una excepción con fecha de fin o un protocolo sustituto, y esa decisión corresponde a quien posee la puerta de enlace. Registrar la decisión es la diferencia entre una excepción gestionada y un cambio de política accidental.