Erreur de chiffrement faible vpnc : politique de passerelle ou réparation du poste ?

Deux réparations semblent aussi rapides lorsqu'une ancienne connexion vpnc refuse de monter : passer l'ancien indicateur de chiffrement faible, ou déposer un script enveloppe qui l'ajoute pour vous. Elles ne sont pas équivalentes, car l'une modifie la politique d'un seul profil et l'autre le comportement de chaque programme qui emprunte ce chemin. La première question est de savoir si la passerelle propose encore une proposition faible, et la seconde qui est autorisé à l'accepter. Tout le reste découle de ces deux réponses.

Deux réparations aux portées très différentes

Une modification au niveau du profil touche une connexion, un propriétaire et une date d'expiration. Le remplacement du binaire installé touche chaque interface de la machine, y compris l'applet de bureau qu'un collègue utilise pour un profil de passerelle entièrement différent. L'enveloppe cache aussi le changement à quiconque déboguera l'hôte six mois plus tard.

La vérification du paquet est la première victime : un fichier à /usr/sbin/vpnc qui ne correspond plus à son paquet transforme une mise à jour de sécurité de routine en enquête. Les mises à niveau écrasent alors l'enveloppe en silence ou refusent de s'appliquer, selon la façon dont le gestionnaire de paquets traite les fichiers modifiés. Aucun des deux résultats n'apparaît dans le journal de connexion, ce qui explique pourquoi l'approche par enveloppe reste séduisante jusqu'au premier incident. Une seule ligne dans un profil est bien plus facile à trouver et à retirer qu'un binaire dont personne ne se souvient avoir remplacé.

Ce que fait réellement le commutateur obsolète

Le manuel de vpnc marque l'option DES unique comme obsolète au profit d'un réglage de chiffrement faible, et documente une option distincte qui n'autorise aucun chiffrement du trafic de données. Ce sont des concessions différentes aux conséquences différentes. Aucune des deux ne pousse une passerelle moderne à négocier ce qu'elle ne propose plus.

Lisez l'étape de l'échec avant de choisir une réparation. Une proposition rejetée et un mot de passe rejeté produisent des messages d'interface similaires mais des preuves complètement différentes.

Où se place une exception limitée

Si une organisation accepte sciemment un pair hérité pour une période limitée, l'exception se place dans le profil de ce pair, avec un propriétaire, une date de revue et un chemin de migration vers un protocole pris en charge. La garder hors du chemin global est tout l'intérêt de la qualifier de limitée.

Faites confirmer par le propriétaire de la passerelle quels algorithmes le pair propose encore et ce qui le remplace. Un indicateur client ne peut pas réparer une proposition que le serveur n'envoie plus, et une migration de serveur que personne n'a planifiée survivra au contournement. Placez la date de revue dans le même ticket que l'exception, afin que la concession expire au lieu de devenir permanente.

Vérifiez la négociation, pas seulement l'icône verte

Rassemblez des preuves qui identifient l'étape plutôt que l'humeur du dialogue. Les commandes ci-dessous sont en lecture seule, et les deux premières montrent quelle configuration et quelle version sont réellement en jeu.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

La troisième commande signale les fichiers qui ne correspondent plus au paquet, et c'est ainsi qu'une enveloppe oubliée se trahit. La quatrième montre les concessions que porte le profil, pour qu'une exception ne puisse pas s'étendre discrètement à un second profil via un fichier copié. Exécutez les deux avant et après un changement, et conservez la sortie avec le profil de connexion plutôt que dans une fenêtre de discussion.

Gardez la sortie de débogage hors des tickets jusqu'à ce que quelqu'un l'ait lue, car le manuel avertit que le niveau de débogage le plus élevé déverse des données d'authentification, mots de passe compris. Le critère d'acceptation est un accord autorisé et pris en charge entre client et passerelle, pas une entrée de menu qui finit par devenir verte. Si le pair n'offre qu'un algorithme cassé, le résultat honnête est une exception avec date de fin ou un protocole de remplacement, et cette décision appartient à qui possède la passerelle. Consigner la décision fait la différence entre une exception gérée et un changement de politique accidentel.