Julkinen VPN-kokoonpano lakkasi toimimasta? Lue epäonnistumisen vaihe

Profiili toimi tiistaina, ja perjantaina asiakas pyörii kolmekymmentä sekuntia ja antaa periksi. Koneellasi ei ole muuttunut mikään. Juuri se on pointti: ladattu kokoonpano kuvaa yhtä isäntää yhdellä hetkellä, eikä toisessa päässä olevalla operaattorilla ole velvollisuutta pitää sitä kuvausta totuudenmukaisena. Kiusaus on alkaa muokata turva-asetuksia, kunnes tunneli nousee taas. Juuri tämä vaisto johtaa siihen, että ihmiset päätyvät ajamaan profiilia, jossa varmenteen tarkistus on pois päältä, mikä on pahempaa kuin ettei tunnelia olisi lainkaan.

Tiedosto kuvaa hetken, ei sopimusta

Kokoonpanotiedosto on joukko väitteitä: tämä isäntänimi kuuntelee tällä portilla tällä protokollalla, esittää tähän nimeen sopivan varmenteen ja hyväksyy nämä tunnistetiedot. Kun mikä tahansa niistä lakkaa pitämästä paikkansa, tiedosto on vanhentunut ja korjaus kuuluu rajan operaattorin puolelle, ei sinun asetuksiisi.

Julkiset solmuluettelot tekevät sen luonteensa vuoksi selväksi. Solmuja ylläpitävät vapaaehtoiset, ne ilmestyvät ja katoavat, osoitteita kierrätetään ja portteja blokkaa verkko, jonka takana ne ovat. Luettelo on hetkikuva, joka luodaan uudelleen, ja levysi kopio on valokuva vanhemmasta hetkikuvasta.

Kaupalliset palvelut muuttuvat hitaammin, mutta eivät koskaan. Varmentajat vaihtuvat, kuuntelija siirtyy jaetusta osoitteesta omaan osoitteeseen, vanha protokolla poistetaan käytöstä ja uusi salausluettelo saapuu. Jokainen niistä on näkymätön, kunnes asiakkaasi yrittää yhdistää ja saa erilaisen vastauksen kuin tiedosto odottaa.

Lue epäonnistumisen vaihe ennen kuin kosket asetukseen

Virheilmoitus kertoo, mikä väite petti, ja jokaisella väitteellä on täysin erilainen korjaus. Salausten muokkaaminen, kun isäntänimi ei enää ratkea, tuhlaa iltapäivän eikä opeta kenellekään mitään.

dig +short vpn.example.net
curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect}\n' --max-time 8 https://vpn.example.net:443/
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/null

Keskimmäinen rivi erottaa estetyn polun rikkinäisestä kättelystä, ja kolmas näyttää varsinaisesti esitetyn varmenteen myöntäjän ja voimassaolopäivät. Jos tämä myöntäjä ei ole se, jonka profiili on kiinnittänyt, varmenne on vaihtunut, eikä mikään asiakaspuolen asetus tee vanhasta kiinnityksestä taas oikeaa.

Varmenne- ja identiteettimuutokset ovat niitä hiljaisia

Useimmat epäonnistumiset ilmoittavat itsestään. Identiteettimuutokset eivät, koska asiakas, joka kiinnittää varmennessa olevan nimen, hylkää täysin kelvollisen uuden varmenteen viestillä, jonka monet lukevat ohjelmistovirheeksi. Tunneli on kunnossa. Kiinnitys on vanhentunut.

Etsi identiteettiasetukset ennen kuin päättelet mitään:

grep -nE '^(remote|proto|auth|verify-x509-name|tls-crypt|key-direction|ca) ' profile.ovpn
openssl x509 -in profile-ca.crt -noout -subject -dates

Jos profiilissa on upotettu CA ja operaattori on siirtynyt uuteen varmentajaan, vanha tiedosto ei voi validoida uutta palvelinta. CA-lohkon korvaaminen operaattorin julkaisemalla on laillinen korjaus. Tarkistusdirektiivin poistaminen ei ole, ja kyse on samoista näppäinpainalluksista hyvin erilaisella tuloksella.

Asiakkaan päivitys voi tuottaa saman oireen ilman mitään muutosta operaattorin puolella. Asetukset, joita sietäen hiljaa, hylätään nyt, tai vanhentunut protokolla poistetaan. Se on ohjelmistosi yhteensopivuusraja, ja kannattaa kokeilla toista profiilia samalla asiakkaalla ennen kuin syytät palvelinta.

Vain operaattori voi julkaista kelvollisen korvaajan

Kun solmu katoaa, korvaajan on tultava samasta lähteestä, joka julkaisi alkuperäisen. Profiili, joka saapuu suorassa viestissä, koska se «käyttää samaa palvelinnimeä», on tuntemattoman osapuolen tarkistamaton kokoonpano, ja sen tuonti antaa tälle osapuolelle hallinnan reititykseesi.

Tarkistus on halpa. Hae nykyinen tiedosto julkaistusta sijainnista, vertaa päätepistettä ja protokollaa luetteloon ja vahvista CA-materiaalin sormenjälki sen sijaan, että luottaisit tiedostonimeen:

curl -sS -o current.ovpn https://example.org/nodes/current.ovpn
sha256sum current.ovpn profile.ovpn
grep -nE '^(remote|proto) ' current.ovpn

Jos kaksi tiivistettä eroavat vain välilyönneissä, kyse on muotoilumuutoksesta. Jos ne eroavat päätepisteissä, operaattori on siirtänyt jotain ja julkaistu tiedosto on auktoriteetti. Jos julkaistu tiedosto on vanhempi kuin sinulla oleva, katsot luultavasti välimuistia, ja vanhentunut vastaus lähettää sinut väärään suuntaan.

Poista vanha merkintä ja kirjaa, mitä tapahtui

Kun toimiva korvaaja on vahvistettu, poista vanha profiili sen sijaan, että pitäisit sitä varavaihtoehtona. Vanhentunut merkintä, joka yhdistää puolittain, on ansa: se valitaan katkoksen aikana, se epäonnistuu hitaasti, ja ongelmaa selvittävä henkilö viettää ensimmäiset kymmenen minuuttia väärän tiedoston parissa.

Pidä lyhyt kirjaus kokoonpanon ulkopuolella: päivämäärä, vanha päätepiste, epäonnistumisen vaihe ja mikä sen korvasi. Julkiset solmut vaihtuvat, ja kuusi viikkoa myöhemmin sama kysymys saapuu toisen henkilön kanssa. Yksi rivi muistiinpanotiedostossa vastaa siihen sekunneissa.

Jos yhdestä verkosta jokainen solmu epäonnistuu samalla tavalla eikä toisesta mikään, lopeta profiilien muokkaaminen ja katso paikallista polkua. Vangittu portaali, suodatettu porttialue tai sieppaava välityspalvelin tuottavat identtiset virheet toisistaan riippumattomilla tarjoajilla, ja juuri se kuvio on ainoa merkki siitä, että ongelma ei koskaan ollut tiedostossa.