VPN konfigurazio publikoa funtzionatzeari utzi dio? Irakurri hutsegite fasea

Profilak asteartean funtzionatzen zuen, eta ostiralean bezeroak hogeita hamar segundo biratzen ditu eta amore ematen du. Zure makinan ezer ez da aldatu. Hori da hain zuzen kontua: deskargatutako konfigurazio batek ostalari bat deskribatzen du une batean, eta beste muturreko operadoreak ez du betebeharrik deskribapen hori egia mantentzeko. Tentaldia segurtasun-ezarpenak editatzeari ekitea da, tunela berriro altxatu arte. Sen hori da jendea ziurtagirien egiaztapena desaktibatuta duen profil bat exekutatzera iristen den arrazoia, eta hori tunelik ez izatea baino okerragoa da.

Fitxategiak une bat deskribatzen du, ez kontratu bat

Konfigurazio-fitxategi bat baieztapenen multzoa da: ostalari-izen honek ataka honetan entzuten du protokolo honekin, izen honekin bat datorren ziurtagiria aurkezten du eta kredentzial hauek onartzen ditu. Horietako edozein egia izateari uzten dionean, fitxategia zaharkituta dago eta konponketa mugaren operadorearen aldean dagokio, ez zure ezarpenetan.

Nodo publikoen zerrendak nabarmen uzten dute hori, beren izaeragatik. Nodoak boluntarioek kudeatzen dituzte, agertu eta desagertu egiten dira, helbideak birziklatu egiten dira eta atakak haien atzean dagoen sareak blokeatzen ditu. Zerrenda birsortzen den une-kopia bat da, eta zure diskoan dagoen kopia une-kopia zaharrago baten argazkia da.

Zerbitzu komertzialak motelago aldatzen dira, baina ez inoiz. Ziurtagiri-agintariek errotatzen dute, entzule bat helbide partekatutik helbide dedikatu batera pasatzen da, protokolo zahar bat erretiratzen da eta zifratze-zerrenda berri bat iristen da. Horietako bakoitza ikusezina da zure bezeroak konektatzen saiatu eta fitxategiak espero duenaren erantzun ezberdina jaso arte.

Irakurri hutsegite fasea ezarpen bat ukitu aurretik

Errore-mezuak esaten du zein baieztapenek huts egin zuen, eta baieztapen bakoitzak konponketa erabat ezberdina du. Zifratzeak editatzea ostalari-izenak jada ebazten ez duenean arratsalde bat galtzea da eta inori ezer ez irakastea.

dig +short vpn.example.net
curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect}\n' --max-time 8 https://vpn.example.net:443/
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/null

Erdiko lerroak bide blokeatua eskuko astindua hautsi batetik bereizten du, eta hirugarrenak benetan aurkeztutako ziurtagiriaren igorlea eta baliozkotasun-datak erakusten ditu. Igorle hori profilak finkatu zuena ez bada, ziurtagiria aldatu da, eta bezeroaren aldeko aukerarik ez du finkatze zaharra berriro zuzen egingo.

Ziurtagiriaren eta identitatearen aldaketak isilenak dira

Hutsegite gehienek beren burua iragartzen dute. Identitate-aldaketek ez, ziurtagiri-izen bat finkatzen duen bezero batek ziurtagiri berri guztiz ona baztertuko baitu jende askok software-errore gisa irakurtzen duen mezu batekin. Tunela ondo dago. Finkatzea zaharkituta dago.

Bilatu identitate-aukerak ezer ondorioztatu aurretik:

grep -nE '^(remote|proto|auth|verify-x509-name|tls-crypt|key-direction|ca) ' profile.ovpn
openssl x509 -in profile-ca.crt -noout -subject -dates

Profilak CA kapsulatua badaramaki eta operadorea agintaritza berri batera pasa bada, fitxategi zaharrak ezin du zerbitzari berria baliozkotu. CA blokea operadoreak argitaratu duenarekin ordezkatzea konponketa zilegia da. Egiaztatze-direktiba ezabatzea ez da, eta tekla-sakatze berak dira emaitza oso ezberdinarekin.

Bezeroaren eguneratze batek sintoma bera sor dezake operadorearen aldaketarik gabe. Isilka onartzen ziren aukerak orain baztertzen dira, edo protokolo zaharkitu bat kentzen da. Hori zure softwarearen bateragarritasun-muga da, eta merezi du beste profil bat probatzea bezero berarekin zerbitzaria errudun egin aurretik.

Operadoreak bakarrik argitara dezake ordezko baliozkoa

Nodo bat desagertzen denean, ordezkoak jatorrizkoa argitaratu zuen iturburu beretik etorri behar du. Mezu zuzen batean iristen den profila, «zerbitzari-izen bera erabiltzen duelako», alderdi ezezagun baten konfigurazio egiaztagabea da, eta hura inportatzeak alderdi horri zure bideratzearen kontrola ematen dio.

Egiaztapena merkea da. Eskuratu uneko fitxategia argitaratutako kokapenetik, alderatu muturra eta protokoloa zerrendarekin, eta berretsi CA materialaren hatz-marka fitxategi-izenean fidatu beharrean:

curl -sS -o current.ovpn https://example.org/nodes/current.ovpn
sha256sum current.ovpn profile.ovpn
grep -nE '^(remote|proto) ' current.ovpn

Bi hash-ak zuriuneetan soilik ezberdintzen badira, formatu-aldaketa duzu. Muturretan ezberdintzen badira, operadoreak zerbait mugitu du eta argitaratutako fitxategia da autoritatea. Argitaratutako fitxategia zurea baino zaharragoa bada, ziurrenik cache bat ari zara ikusten, eta erantzun zaharkituak norabide okerrean bidaliko zaitu.

Erretiratu sarrera zaharra eta erregistratu zer gertatu zen

Ordezko funtzional bat egiaztatu ondoren, ezabatu profil zaharra, ez gorde erreserba gisa. Erdi-konektatzen duen sarrera zaharkitu bat tranpa da: etenaldi batean hautatuko da, motel huts egingo du, eta arazten ari den pertsonak lehen hamar minutuak fitxategi okerrean emango ditu.

Mantendu erregistro labur bat konfiguraziotik kanpo: data, mutur zaharra, hutsegite fasea eta zer ordezkatu zuen. Nodo publikoak aldatzen dira, eta sei aste geroago galdera bera etortzen da beste pertsona batekin. Ohar-fitxategi bateko lerro batek segundoetan erantzuten dio.

Sare batetik nodo guztiek modu berean huts egiten badute eta beste batetik batek ere ez, utzi profilak editatzen eta begiratu bide lokala. Ataka gatibu batek, ataka-tarte iragazi batek edo proxy atzematen duen batek errore berdinak sortuko ditu hornitzaile ezberdinetan, eta eredu hori da arazoa inoiz fitxategia ez zela adierazten duen seinale bakarra.