Zergatik utzi zion OpenVPNk konektatzeari Ubuntu berritze baten ondoren?

Iazko astean funtzionatzen zuten VPN profilek Ubuntu bertsio berritze baten ondoren apurtzen dira, eta erregistroak gutxitan aipatzen du berritzea. Aipatzen duena huts egin zuen geruza da: TLS esku-ematea, datu-kanalerako negoziatutako zifratzea, instalatutako paketea edo programak abiaraztean kargatzen duen OpenSSL kopia. Geruza bakoitzak bere erro-forma eta bere konponketa ditu, eta horregatik sailkapena da lehen lana eta edizioa bigarrena. Har ezazu profila errugabetzat erregistroak izendatu arte.

Zein geruzak huts egin zuen: esku-emateak, zifratzeak, paketeak edo liburutegiak

Irakurri bezeroaren erregistroa profila ukitu aurretik. Irteerako lehen errorea da geruza identifikatzen duena; ondoren inprimatutako guztia lehen porrot horren ondorioa izan ohi da. Bezeroa batere abiarazten ez denean, VPN erregistroa da irekitzeko fitxategi okerra.

Ziurtagiriei eta sinadurei buruzko kexak, edo gakoaren luzerari buruzko mezua, kontrol-kanaletik eta hura gobernatzen duen liburutegi-politikatik datoz. DEPRECATED OPTION hasten den abisu bat, berriz, datu-kanalaren negoziazioari dagokio.

Honelako lerro bat Unrecognized option hirugarren kategoria da: programa berriak ez du onartzen zaharrak jasan zuen direktiba bat, beraz profila berridatzi behar da, liburutegia lasaitu beharrean. Pakete-hutsegiteek itxura desberdina dute berriro, tunel-kodeak exekutatu aurretik gertatzen direlako. Falta den programa batek, kargatzen ez den plugin batek edo kode-izen oker batera zuzentzen duen biltegi batek forma hori ematen dute. Lau sintoma, begiratzeko lau leku eta konponketen arteko gainjartze ia nulua.

Esku-emateak huts egiten duenean, TLS politikak ukatzen du ziurtagiria

Ubuntu 22.04k OpenSSL 3ra eraman zuen sistema, eta adar horretako defektuzko segurtasun-maila zorrotzagoa da ziurtagiri-sinadurei eta gako-tamainei dagokienez 20.04k zuena baino. Digest zaharrago batekin sinatutako CA ziurtagiri batek edo egungo atalasetik beherako gako batek huts egiten du orain esku-ematean. Oraindik ezer autentifikatu ez denez, errorea pasahitz oker edo zerbitzari hil gisa irakurtzen da.

Konponketa estu-ak zifratze-kate bat soilik erantsi dio konexio honi. Mahaigaineko editorean, ireki profila, joan ezarpen aurreratuetara eta jarri DEFAULT:@SECLEVEL=0 TLS zifratze-eremuan. NetworkManager-en giltza-fitxategiak balio bera hartzen du [vpn] atalaren pean:

[vpn]
tls-cipher=DEFAULT:@SECLEVEL=0

Berrabiarazi NetworkManager eta konektatu berriro, deabruak profile aztertuak cachean gordetzen baititu eta bestela dagoeneko duen kopia erabiltzen jarraituko bailuke. Jakin zer egiten duen lerroak mantendu aurretik: ezarpen hori muga da ziurtagiri eta gako parametro batzuen gainetik, ez zifratze-izena; beraz, jaisteak profil bakarrak onartzen duena zabaltzen du. Idatzi zein zerbitzarik eskatu zuen eta utzi ezarpena operadoreak material eguneratua berrargitaratzen duenean. /etc/ssl/openssl.cnf aldatzeak fitxategi hori irakurtzen duen programa bakoitzerako muga bera lortzen du, VPNetik askoz harago.

OpenVPN 2.6k zifratzea negoziazioan zerrendatuta behar du

Ubuntu 22.10ek OpenVPN 2.6 ekarri zuen, eta bertsio horretan --cipher uzten dio datu-kanala bakarrik aukeratzeari. Zifratzea negoziatutako data-ciphers zerrendan ere egon behar da, bestela bezeroak zaharkitzapen-abisua inprimatzen du eta gero tuneleko ez da altxatzen.

Garai bereko NetworkManager pluginak direktiba zaharra soilik idazten zuen oraindik. Xehetasun horrek diagnosia banatzen du: eskuz zuzendutako profilak shell batetik konekta dezake eta mahaigaineko appletetik huts egin. Gehitu zerrenda konexio-fitxategian [vpn] atalaren pean:

data-ciphers=AES-256-CBC

Erabili zerbitzariak iragartzen duen balioa, gogoratzen duzuna ez; AES-256-GCM eskaintzen duen zerbitzari batek ez du CBC soilik aipatzen duen bezero-zerrendarekin negoziatuko. Berrabiarazi kudeatzailea eta konektatu berriro, gero errepikatu saiakera shell batetik zifratzea esplizituki pasatuta negoziaziorako eta fallbackerako:

sudo openvpn --config client.ovpn --data-ciphers AES-256-CBC --data-ciphers-fallback AES-256-CBC

Komando horrek tunela altxatzen badu, zerbitzaria, ziurtagiriak eta kredentzialak ondo daude, eta gainerako akats bakarra kudeatzaileak gordetako aukera da. keysize direktibari buruzko abisuak garbiketa berari dagokio: komentatu ezazu eta gorde jatorrizko fitxategia profilaren ondoan.

Pakete- eta plugin-akatsak VPN akats ematen dute

Berritze osteko hutsegite guztiak ez dira kriptografikoak. Bertsioak erabiltzen ez duen kode-izen baten pean gehitutako OpenVPN biltegi batek inoiz instalatzen ez den paketea sortzen du, beraz alderatu lsb_release -a zer jakinarazten duen gehitu duzun zerrenda-fitxategiarekin. Falta den universe osagai batek edo segurtasun-poltsa batek guztiz aurkitzen ez den paketea sortzen du. Bi kasuek profila ukitu gabe eta tunela ezinezko uzten dituzte.

Irakurri pakete-kudeatzailearen errorea VPN erregistroa baino lehen. Bezeroa inoiz instalatu ez bada, profil-edizio kopuruak ez du esku-ematerik sortuko.

Galdetzeari uzten dioten bi faktoreko profilek istorio beraren plugin bertsioa dira. Erronka autentifikazio-plugin batetik dator, eta hura kendu edo ordezkatu zuen berritzeak profila osorik uzten du eskaera desagertzen den bitartean. Berrinstalatu onartutako plugina bigarren faktorea ezabatu beharrean konexioak funtziona dezan.

Hornitzailearen liburutegi bat politika-errore baten atzean ezkuta daiteke

Eredu batek aintzatespena merezi du politika-konponketa oro garaitzen duelako. Hardware hornitzaile baten konfigurazio-tresnak bere OpenSSL liburutegiak instala ditzake eta sistemako kopien aurretik jar ditzake kargatzailearen bilaketa-bidean. Bezeroa orduan inork eguneratu ez duen liburutegi baten aurka abiarazten da, eta abiarazte-hutsegiteak ukatutako ziurtagiri baten itxura zehatza du.

VPN paketea berrinstalatzeak ez du aldatzen zein liburutegi aurkitzen den lehenengo, eta TLS maila jaisteak ez du sistematik inoiz etorri ez den liburutegi batera iristen. Galdetu kargatzaileari zein kripto objektu ebazten dituen programak benetan:

ldd /usr/sbin/openvpn | grep -i -E 'ssl|crypto'

Kendu edo berbideratu hornitzailearen kopia, eta gero exekutatu egiaztapen bera berriro. Espero den bertsioak erabileran dagoena izan behar du profilera itzuli aurretik.

Bezero zahar bat finkatzeak denbora erosten du, ez konponbidea

Aurreko bezero-bertsioa atxikitzeak tunela berrezartzen du atxikitzeak dirauen bitartean. Pakete horren segurtasun-eguneratzeak izozten ere ditu eta hurrengo berritzerako haustura bera programatzen du, beraz tratatu data duen aldi baterako konponbide gisa, ez konponbide gisa.

Hala ere finkatzen baduzu, atxiki paketea esplizituki gainbegiratu gabeko berritze batek finkapena desegin ez dezan, idatzi arrazoia eta berrikusteko data, eta jarri abisua hornitzailearen hurrengo profil-argitalpenerako. Zaintzea merezi duen baldintza zifratze eguneratua negoziatzen duen zerbitzari-profila da; hori dagoenean, finkapenak ez du justifikaziorik. Erregistratu gabeko finkapen bat, aldiz, sei hilabete geroago inork azaldu ezin duen etenaldi bihurtzen da, aplikatu zuen pertsona joan egin delako eta fitxategiak ezer erregistratzen ez duelako.

Hurrengoan VPN bat bertsio berritze baten ondoren hiltzen denean, egin bost galdera segidan: zein geruzak eman zuen lehen errorea, TLS politikak ziurtagiria ukatu zuen, zifratzea bi noranzkoetan negozia daitekeen, paketea eta bere plugina benetan instalatu ziren, eta zein liburutegi kargatzen duen prozesuak. Bostak garbi itzultzen direnean soilik du zentzurik bertsio-jaitsierak.