Vanhentuneet salausrivit vanhoissa VPN-profiileissa: lue ennen kopiointia

Tämä profiili kirjoitettiin vuonna 2016, ja se tuodaan yhä ja se yhdistää yhä. Juuri siksi kukaan ei katso siihen. Asiakas, joka joskus luki nämä direktiivit, on kauan sitten poissa, ja nykyinen versio voi tulkita useita niistä eri tavalla.

Tiedoston säilyminen ei tarkoita, että kokoonpano on ajan tasalla. Näiden kahden ajatuksen erottaminen on suurin osa työstä.

Selvitä, mikä asiakas kirjoitti profiilin

Aloita julkaisijasta ja versiosta. Direktiivin merkityksen määrittää sen lukeva toteutus. Rivi, joka joskus valitsi algoritmin, voi muuttua varaluetteloksi, varoitukseksi tai kovaksi virheeksi. Se, mikä julkaisu sen tulkitsee, ratkaisee tuloksen.

OpenVPN on selkein esimerkki. Versio 2.5 toi data-ciphers ja muutti sitä, miten vanhempi direktiivi cipher osallistuu neuvotteluun. Profiili, joka sisältää vain cipher AES-128-CBC, tekee nyt paljon kapeamman tarjouksen kuin sen kirjoittaja tarkoitti.

Lue julkaisumuistiinpanot asetuksesta, joka nyt varoittaa tai epäonnistuu. Lokiin tullut varoitus on tosiasia nykyisestä versiosta, ja se painaa enemmän kuin kenenkään muistikuva siitä, miksi rivi lisättiin.

Katso, mitä todella neuvoteltiin

Onnistunut tuonti todistaa jäsennyksen, ei käytäntöä. Neuvoteltu tulos ilmestyy asiakkaan lokiin, kun yhteys nousee. Se voi poiketa kokoonpanotiedoston molemmista päistä.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

Hyväksytty tuonti, joka pudottaa direktiivin hiljaa, jättää profiilin, joka luetaan yhdellä tavalla ja käyttäytyy toisella. Juuri tuo ero selittää, miten kovennetuksi merkitty asiakirja neuvottelee jotain heikompaa kuin sen oma teksti väittää. Loki on ainoa paikka, jossa ero näkyy. Lue se ennen kuin luotat tiedostoon.

Päivitä järjestely, älä riviä

Ota operaattorin ylläpitämä profiili sen sijaan, että kokoaisit algoritmien nimiä, kunnes tuonti lakkaa valittamasta. Rivien lisääminen kokeilemalla kääntää korjauksen suunnan. Se sovittaa asiakkaan tuntemattomaan palvelimeen sen sijaan, että selvittäisi, mitä palvelin tukee.

Palvelin saattaa tarvita myös koordinoidun päivityksen. Nykyinen asiakas ei voi luoda tukea tarjoukselle, jota vastapuoli ei koskaan tarjoa. Mikään asiakaspuolen vaihtoehto ei korvaa yhdyskäytävää, jota ei ole päivitetty.

Se, mistä ei saa luopua, on varmennus. Varmenteiden tarkistusten poistaminen, isäntänimen tarkistuksen poistaminen käytöstä tai päivitysten sammuttaminen vanhan profiilin pitämiseksi elossa muuttaa yhteensopivuusongelman luottamusongelmaksi. Se tapahtuu yleensä yksi pieni muutos kerrallaan.

Vahvista tulos ja kirjaa poikkeus

Tarkastele muutoksen jälkeen uudelleen neuvoteltua kokonaisuutta ja testaa resurssi, jota varten tunneli on olemassa. Profiililla, joka neuvottelee haluamasi ja ei silti tavoita palvelua, on reititys- tai identiteettiongelma. Sillä ei ole salakirjoitusongelmaa.

Pidä aiempi hyväksi tiedetty kokoonpano suojatussa paikassa. Vertailu on mahdollista vain niin kauan kuin vanha tiedosto on vielä olemassa.

Dokumentoi jokainen yhteensopivuuspoikkeus omistajan ja tarkistuspäivämäärän kanssa. Väliaikaisesta järjestelystä, jolla ei ole omistajaa, tulee pysyvä käytäntö. Seuraava tiedoston lukija olettaa, että se valittiin tarkoituksella.