Avalik VPN-i konfiguratsioon lakkas töötamast? Loe tõrkestaadiumit
Allalaaditud profiil kirjeldab ühte hosti ühe päeva jooksul. Loe, milline väide purunes, kontrolli sertifikaati, mille vastaspool esitab, ja ära kunagi lülita kontrollimist välja.
Profiil töötas teisipäeval ja reedel keerleb klient kolmkümmend sekundit ning annab alla. Sinu masinas ei ole midagi muutunud. Just selles ongi mõte: allalaaditud konfiguratsioon kirjeldab ühte hosti ühel hetkel ja teises otsas olev operaator ei ole kohustatud seda kirjeldust tõesena hoidma. Kiusatus on hakata turvaseadeid muutma, kuni tunnel jälle püsti tuleb. Just see tung viib selleni, et inimesed hakkavad lõpuks kasutama profiili, millel on sertifikaadi kontrollimine välja lülitatud, mis on hullem kui tunnelit üldse mitte omada.
Fail kirjeldab hetke, mitte lepingut
Konfiguratsioonifail on väidete kogum: see hostinimi kuulab sellel pordil selle protokolliga, esitab selle nimega sobiva sertifikaadi ja aktsepteerib need volitused. Kui ükskõik milline neist lakkab olemast tõene, on fail vananenud ja parandus kuulub piiri operaatori poolele, mitte sinu seadetesse.
Avalikud sõlmede nimekirjad teevad selle oma olemuselt selgeks. Sõlmi haldavad vabatahtlikud, need ilmuvad ja kaovad, aadresse ringlusse võetakse ja porte blokeerib võrk, mille taga need asuvad. Nimekiri on hetktõmmis, mis genereeritakse uuesti, ja sinu kettal olev koopia on foto vanemast hetktõmmisest.
Kommertsteenused muutuvad aeglasemalt, kuid mitte kunagi. Sertifitseerimisasutused roteeruvad, kuulaja liigub jagatud aadressilt eraldatud aadressile, vana protokoll võetakse kasutusest välja ja saabub uus šifrite nimekiri. Igaüks neist on nähtamatu seni, kuni sinu klient proovib ühendust luua ja saab teistsuguse vastuse kui fail ootab.
Loe tõrkestaadiumit enne, kui seadet puudutad
Veateade ütleb, milline väide purunes, ja igal väitel on täiesti erinev parandus. Šifrite muutmine, kui hostinimi enam ei lahene, raiskab ühe pärastlõuna ega õpeta kellelegi midagi.
| What happens | The assertion that broke | Supported response |
|---|---|---|
| Name never resolves | The host still exists under that name | Get a current endpoint from the operator |
| TCP connect times out | The listener is on that port and reachable | Check the current published port, then the local network |
| TLS or key exchange fails | The peer presents the expected identity | Compare the certificate, not the cipher list |
| Authentication rejected | The account is still valid | Get credentials reissued or stop using the service |
dig +short vpn.example.net
curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect}\n' --max-time 8 https://vpn.example.net:443/
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/nullKeskmine rida eraldab blokeeritud tee katkisest kätlusest ja kolmas näitab tegelikult esitatud sertifikaadi väljaandjat ja kehtivuskuupäevi. Kui see väljaandja ei ole see, mille profiil kinnitas, on sertifikaat muutunud ja ükski kliendipoolne valik ei tee vana kinnitust uuesti õigeks.
Sertifikaadi- ja identiteedimuutused on vaiksed
Enamik tõrkeid teatab endast. Identiteedimuutused mitte, sest klient, mis kinnitab sertifikaadi nime, keeldub täiesti korralikust uuest sertifikaadist teatega, mida paljud loevad tarkvaraveana. Tunnel on korras. Kinnitus on vananenud.
Otsi identiteedivalikuid enne, kui midagi järeldad:
grep -nE '^(remote|proto|auth|verify-x509-name|tls-crypt|key-direction|ca) ' profile.ovpn
openssl x509 -in profile-ca.crt -noout -subject -datesKui profiil kannab manustatud CA-d ja operaator on läinud üle uuele asutusele, ei saa vana fail uut serverit valideerida. CA-ploki asendamine operaatori avaldatud plokiga on legitiimne parandus. Kontrollimisdirektiivi kustutamine ei ole, ja need on samad klahvivajutused väga erineva tulemusega.
Kliendi uuendus võib tekitada sama sümptomi ilma operaatori muudatusteta. Valikud, mida varem vaikselt taluti, lükatakse nüüd tagasi, või eemaldatakse vananenud protokoll. See on sinu tarkvara ühilduvuspiir ja tasub proovida teist profiili sama kliendiga enne, kui serverit süüdistad.
Ainult operaator saab avaldada kehtiva asenduse
Kui sõlm kaob, peab asendus tulema samast allikast, mis avaldas originaali. Profiil, mis saabub otsesõnumis, sest see «kasutab sama serverinime», on tundmatu osapoole kontrollimata konfiguratsioon, ja selle importimine annab sellele osapoolele kontrolli sinu marsruutimise üle.
Kontroll on odav. Too praegune fail avaldatud asukohast, võrdle lõpp-punkti ja protokolli nimekirjaga ning kinnita CA-materjali sõrmejälg, selle asemel et failinime usaldada:
curl -sS -o current.ovpn https://example.org/nodes/current.ovpn
sha256sum current.ovpn profile.ovpn
grep -nE '^(remote|proto) ' current.ovpnKui kaks räsi erinevad ainult tühikute poolest, on tegemist vormingu muudatusega. Kui need erinevad lõpp-punktide poolest, on operaator midagi liigutanud ja avaldatud fail on autoriteet. Kui avaldatud fail on vanem kui sinu oma, vaatad tõenäoliselt vahemälu, ja vananenud vastus saadab sind vales suunas.
Võta vana kirje kasutusest välja ja pane kirja, mis juhtus
Kui töötav asendus on kontrollitud, kustuta vana profiil, selle asemel et hoida seda varuvariandina. Vananenud kirje, mis ühendub poolenisti, on lõks: see valitakse katkestuse ajal, see ebaõnnestub aeglaselt ja tõrkeotsijat ootab esimesed kümme minutit vale fail.
Pea lühikest arvestust väljaspool konfiguratsiooni: kuupäev, vana lõpp-punkt, tõrkestaadium ja mis selle asendas. Avalikud sõlmed muutuvad ja kuus nädalat hiljem saabub sama küsimus teise inimesega. Üks rida märkmete failis vastab sellele sekunditega.
Kui ühest võrgust ebaõnnestub iga sõlm ühtemoodi ja teisest mitte ükski, lõpeta profiilide muutmine ja vaata kohalikku teed. Kaptiivportaal, filtreeritud pordivahemik või vahendav puhverserver tekitavad identsed vead sõltumatute pakkujate juures, ja just see muster on ainus signaal, et probleem ei olnud kunagi failis.