Iepenbiere VPN-konfiguraasje wurket net mear? Lês de flaterstap

It profyl wurke tiisdei, en freedtemoarn draait de klant tritich sekonden en jout it op. Der is neat op dyn masine feroare. Dat is krekt it punt: in downloadte konfiguraasje beskriuwt ien host op ien momint, en de operator oan 'e oare kant hat gjin ferplichting om dy beskriuwing wier te hâlden. De ferlieding is om befeiligingsynstellingen te bewurkjen oant de tunnel wer omheech komt. Krekt dy oanstriid is de reden dat minsken einigje mei in profyl mei sertifikaatferifikaasje útskeakele, wat slimmer is as hielendal gjin tunnel.

It bestân beskriuwt in momint, gjin kontrakt

In konfiguraasjebestân is in set bewearings: dizze hostnamme harket op dizze poarte mei dit protokol, biedt in sertifikaat oan dat by dizze namme past, en akseptearret dizze legitimasjes. As ien fan dy net mear wier is, is it bestân ferâldere en heart de reparaasje oan 'e operatorkant fan 'e grins, net yn dyn ynstellingen.

Iepenbiere knooppuntlisten meitsje dat fansels dúdlik. Knooppunten wurde troch frijwilligers beheard, se ferskine en ferdwine, adressen wurde werbrûkt en poarten wurde blokkearre troch it netwurk dêr't se efter sitte. De list is in momintopname dy't op 'e nij generearre wurdt, en de kopy op dyn skiif is in foto fan in âldere momintopname.

Kommersjele tsjinsten feroarje stadiger, mar net nea. Sertifikaatynstânsjes rotearje, in listener ferhûzet fan in dielde adres nei in eigen adres, in âld protokol wurdt útfasearre en in nije syferlist komt binnen. Elk dêrfan is ûnsichtber oant dyn klant besiket te ferbinen en in oar antwurd krijt as dat it bestân ferwachtet.

Lês de flaterstap foardatst in ynstelling oanrekkest

De flatermelding seit hokker bewearing ferbrutsen is, en elke bewearing hat in hiel oare reparaasje. Syfers bewurkje wylst de hostnamme net mear oplost, kostet in middei en leart nimmen wat.

dig +short vpn.example.net
curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect}\n' --max-time 8 https://vpn.example.net:443/
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/null

De middelste rigel skiedt in blokkearre paad fan in brutsen hânjaan, en de tredde lit de útjouwer en de jildichheidsdatums sjen fan it sertifikaat dat eins oanbean wurdt. As dy útjouwer net dejinge is dy't it profyl fêstset hat, is it sertifikaat feroare, en gjin klantopsje sil de âlde pin wer korrekt meitsje.

Sertifikaat- en identiteitsferoarings binne de stille

De measte flaters kundigje harsels oan. Identiteitsferoarings dogge dat net, want in klant dy't in sertifikaatnamme fêstset, sil in folslein goed nij sertifikaat wegerje mei in berjocht dat in protte minsken as in softwareflater lêze. De tunnel is goed. De pin is ferâldere.

Sykje de identiteitsopsjes foardatst wat konkludearret:

grep -nE '^(remote|proto|auth|verify-x509-name|tls-crypt|key-direction|ca) ' profile.ovpn
openssl x509 -in profile-ca.crt -noout -subject -dates

As it profyl in ynboude CA draacht en de operator is oerstapt op in nije ynstânsje, kin it âlde bestân de nije server net falidearje. It CA-blok ferfange troch dat fan 'e operator is in legitime reparaasje. De ferifikaasje-opdracht wiskje is dat net, en it binne deselde toetsoanslaggen mei in hiel oar resultaat.

In klantfernijing kin itselde symptoom jaan sûnder feroaring by de operator. Opsjes dy't stil tolerearre waarden, wurde no wegere, of in ferâldere protokol wurdt fuorthelle. Dat is in kompatibiliteitsgrins yn dyn software, en it is de muoite wurdich in twadde profyl mei deselde klant te besykjen foardatst de server de skuld joutst.

Allinnich de operator kin in jildich ferfangsel publisearje

As in knooppunt ferdwynt, moat it ferfangsel komme fan deselde boarne dy't it originearre publisearre hat. In profyl dat yn in direkte berjocht oankomt om't it «deselde servernamme brûkt», is in net-ferifisearre konfiguraasje fan in ûnbekende partij, en it ymportearje jout dy partij kontrôle oer dyn routing.

De kontrôle is goedkeap. Helje it aktuele bestân fan 'e publisearre lokaasje, fergelykje it einpunt en it protokol mei de list, en befêstigje de fingerspriem fan it CA-materiaal ynstee fan op 'e bestânsnamme te fertrouwen:

curl -sS -o current.ovpn https://example.org/nodes/current.ovpn
sha256sum current.ovpn profile.ovpn
grep -nE '^(remote|proto) ' current.ovpn

As de twa hashes allinnich yn wytromte ferskille, hast in opmaakferoaring. As se yn einpunten ferskille, hat de operator wat ferpleatst en is it publisearre bestân it gesach. As it publisearre bestân âlder is as dat fan dy, sjochst wierskynlik nei in cache, en it ferâldere antwurd sil dy de ferkearde kant út stjoere.

Nim de âlde ynfier út en skriuw op wat der barde

Sadree't in wurkjend ferfangsel ferifisearre is, wiskje it âlde profyl ynstee fan it as efterfal te hâlden. In ferâldere ynfier dy't heal ferbynt is in falstrik: hy sil by in steuring keazen wurde, hy sil stadich mislearje, en dejinge dy't debugt sil de earste tsien minuten oan it ferkearde bestân besteegje.

Hâld in koarte registraasje bûten de konfiguraasje: de datum, it âlde einpunt, de flaterstap en wat it ferfong. Iepenbiere knooppunten feroarje, en seis wike letter komt deselde fraach mei in oar persoan derby. Ien rigel yn in notysjebestân beantwurdet it yn sekonden.

As út ien netwurk elk knooppunt op deselde wize mislearret en út in oar gjinien, stopje dan mei profilen te bewurkjen en sjoch nei it lokale paad. In finzene portal, in filtere poarteberik of in ûnderskeppende proxy sil identike flaters jouwe by net-relatearre providers, en dat patroan is it iennige sinjaal dat it probleem nea it bestân wie.