Cén fáth ar stop OpenVPN ag nascadh tar éis uasghrádú Ubuntu?

Briseann próifílí VPN a d'oibrigh an tseachtain seo caite tar éis uasghrádú eisiúna Ubuntu, agus is annamh a luann an logáil an t-uasghrádú ar chor ar bith. Is é a luann sé an tsraith a theip: an croitheadh láimhe TLS, an cipire a caibidlíodh don chanáil sonraí, an pacáiste a suiteáladh, nó an chóip OpenSSL a lódálann an dénártha ag am tosaithe. Tá a chruth earráide féin agus a dheisiú féin ag gach sraith, rud a fhágann gurb é an t-aicmiú an chéad obair agus an eagarthóireacht an dara ceann. Caith leis an bpróifíl mar neamhchiontach go dtí go n-ainmneoidh an logáil í.

Cén tsraith a theip: croitheadh láimhe, cipire, pacáiste nó leabharlann

Léigh logáil an chliaint sula mbaineann tú leis an bpróifíl. Is é an chéad earráid san aschur an ceann a shainaithníonn an tsraith; is iondúil gurb é a phriontáiltear ina dhiaidh sin iarmhairt na chéad teipe sin. Nuair nach dtosaíonn an cliant ar chor ar bith, is é logáil VPN an mhícheart comhad le hoscailt.

Tagann gearáin faoi dheimhniúcháin agus faoi shínithe, nó teachtaireacht faoi fhad eochrach, ón gcainéal rialaithe agus ón bpolasaí leabharlainne a rialaíonn é. Ach baineann rabhadh a thosaíonn le DEPRECATED OPTION le caibidlíocht na canála sonraí ina ionad.

Is tríú catagóir líne den chineál Unrecognized option: ní ghlacann an dénártha nua le treoir a d'fhulaing an seancheann a thuilleadh, mar sin ní mór an phróifíl a athscríobh seachas an leabharlann a scaoileadh. Breathnaíonn teipeanna pacáistithe go difriúil arís mar tarlaíonn siad sula ritheann aon chód tolláin. Táirgeann dénártha ar iarraidh, breiseán nach lódálann, nó stór a dhíríonn ar an gcódainm mícheart an chruth sin uile. Ceithre shíomptóm, ceithre áit le breathnú, agus beagnach aon fhorluí idir na deisiúcháin.

Nuair a theipeann an croitheadh láimhe, diúltaíonn polasaí TLS don deimhniúchán

Bhog Ubuntu 22.04 an córas go OpenSSL 3, agus tá an leibhéal slándála réamhshocraithe sa bhrainse sin níos déine maidir le sínithe deimhniúcháin agus méideanna eochrach ná mar a bhí 20.04. Teipeann deimhniúchán CA a síníodh le haischur níos sine, nó eochair faoi bhun na tairsí reatha, anois le linn an chroitheadh láimhe. Ós rud é nach bhfuil aon rud fíordheimhnithe fós, léitear an earráid mar phasfhocal mícheart nó mar fhreastalaí marbh.

Ceanglaíonn an deisiú cúng teaghrán cipire leis an nasc seo amháin. San eagarthóir deisce, oscail an phróifíl, téigh chuig na socruithe ardleibhéil, agus cuir DEFAULT:@SECLEVEL=0 i réimse cipire TLS. Glacann comhad eochrach NetworkManager an luach céanna faoi [vpn]:

[vpn]
tls-cipher=DEFAULT:@SECLEVEL=0

Atosaigh NetworkManager agus athnasc, mar déanann an daemon próifílí parsáilte a thaisceadh agus mura ndéanfaidh sé amhlaidh leanfaidh sé de úsáid a bhaint as an gcóip atá aige cheana. Bíodh a fhios agat cad a dhéanann an líne sula gcoinníonn tú í: is tairseach í an socrú sin thar roinnt paraiméadar deimhniúcháin agus eochrach, ní ainm cipire, mar sin leathnaíonn a íslithe an méid a ghlacann an phróifíl aonair. Tabhair faoi deara cén freastalaí a d'éiligh é agus scaoil an socrú nuair a ath-eisíonn an t-oibreoir ábhar reatha. Ach athrú /etc/ssl/openssl.cnf sroicheann sé an tairseach chéanna do gach clár a léann an comhad sin, rud atá i bhfad thar an VPN.

Éilíonn OpenVPN 2.6 go mbeadh an cipire liostaithe le haghaidh caibidlíochta

Sheachaid Ubuntu 22.10 OpenVPN 2.6, agus san eisiúint sin stopann --cipher de bheith ag roghnú na canála sonraí as a stuaim féin. Caithfidh an cipire a bheith sa liosta data-ciphers caibidlíochta freisin, nó priontálann an cliant rabhadh dímheasa agus ansin teipeann air an tollán a thógáil.

Ní scríobhadh breiseán NetworkManager ón tréimhse chéanna ach an tseantreoir amháin. Roinneann an mionsonra sin an diagnóis, mar is féidir le próifíl a ceartaíodh de láimh nascadh ó shell agus fós teip ó aiplet an deisce. Cuir an liosta leis an gcomhad naisc faoi [vpn]:

data-ciphers=AES-256-CBC

Bain úsáid as an luach a fhógraíonn an freastalaí, ní an ceann a mheabhraíonn tú; ní dhéanfaidh freastalaí a thairgeann AES-256-GCM caibidlíocht le liosta cliaint nach luann ach CBC. Atosaigh an bainisteoir agus athnasc, ansin déan an iarracht arís ó shell leis an cipire curtha go sainráite don chaibidlíocht agus don chúlú araon:

sudo openvpn --config client.ovpn --data-ciphers AES-256-CBC --data-ciphers-fallback AES-256-CBC

Má thógann an t-ordú sin an tollán, tá an freastalaí, na deimhniúcháin agus na dintiúirí go léir slán, agus is é an t-aon locht atá fágtha ná rogha stóráilte an bhainisteora. Baineann rabhadh faoin treoir keysize leis an nglanadh céanna: déan é a thuairimniú amach agus coinnigh an bunchomhad in aice na próifíle.

Breathnaíonn lochtanna pacáiste agus breiseáin cosúil le lochtanna VPN

Ní cripteagrafach gach teip tar éis an uasghrádaithe. Táirgeann stór OpenVPN a cuireadh leis faoi chódainm nach n-úsáideann an eisiúint pacáiste nach suiteáiltear choíche, mar sin déan comparáid idir a bhfuil lsb_release -a ag tuairisciú agus an comhad liosta a chuir tú leis. Táirgeann comhpháirt universe atá ar iarraidh nó póca slándála pacáiste nach féidir a aimsiú ar chor ar bith. Fágann an dá chás an phróifíl slán agus an tollán dodhéanta.

Léigh earráid an bhainisteora pacáiste roimh logáil VPN. Mura suiteáladh an cliant riamh, ní tháirgfidh aon mhéid eagarthóireachta próifíle croitheadh láimhe.

Is é an leagan breiseáin den scéal céanna iad próifílí dhá fhachtóir a stopann de bheith ag fiafraí. Tagann an dúshlán ó bhreiseán fíordheimhnithe, agus fágann uasghrádú a d'fhág ar lár nó a d'athraigh é an phróifíl slán agus an leid ag imeacht. Athshuiteáil an breiseán tacaíochta in ionad an dara fachtóir a scriosadh chun an nasc a chur ag obair.

Is féidir le leabharlann soláthraí dul i bhfolach taobh thiar d'earráid pholasaí

Tá patrún amháin tuillte a aithint mar sháraíonn sé gach deisiú polasaí. Is féidir le huirlis chumraíochta ó sholáthraí crua-earraí a leabharlanna OpenSSL féin a shuiteáil agus iad a chur chun tosaigh ar chóipeanna an chórais i gcosán cuardaigh an lódálaí. Tosaíonn an cliant ansin in aghaidh leabharlainne nár uasghrádaigh aon duine, agus tá cuma dheimhniúcháin dhiúltaithe go beacht ar theip an tosaithe.

Ní athraíonn athshuiteáil an phacáiste VPN cé acu leabharlann a fhaightear ar dtús, agus ní féidir le hísliú leibhéal TLS leabharlann nár tháinig ón gcóras riamh a shroicheadh. Fiafraigh den lódálaí cé na réada critpeagrafaíochta a réitíonn an dénártha i ndáiríre:

ldd /usr/sbin/openvpn | grep -i -E 'ssl|crypto'

Bain an chóip soláthraí nó athdhírigh í, ansin rith an tseiceáil chéanna arís. Caithfidh an leagan a bhfuiltear ag súil leis a bheith mar an ceann atá in úsáid sula bhfillfidh tú ar an bpróifíl.

Ceannaíonn pionnáil cliant níos sine am, ní réiteach

Athchóiríonn coinneáil an leagain chliaint roimhe seo an tollán fad a mhaireann an choinneáil. Reoítear freisin nuashonruithe slándála don phacáiste sin agus sceidealáitear an chliseadh céanna don chéad uasghrádú eile, mar sin caith leis mar sheift dhátáilte, ní mar réiteach.

Má dhéanann tú é a phionnáil mar sin féin, coinnigh an pacáiste go sainráite ionas nach féidir le huasghrádú neamhfhairsing an pionnáil a chealú, scríobh síos an fáth agus an dáta le hathbhreithniú, agus socraigh meabhrúchán do chéad eisiúint próifíle eile an tsoláthraí. Is é an coinníoll is fiú faire ná próifíl freastalaí a chaibidlíonn cipire reatha; a luaithe a bheidh sí ann, níl aon údar maith leis an bpionnáil. I gcodarsnacht leis sin, déanann pionnáil gan taifead briseadh nach féidir le duine ar bith a mhíniú sé mhí ina dhiaidh sin, mar tá an duine a chuir i bhfeidhm é imithe ar aghaidh agus ní thaifeadann an comhad aon rud.

An chéad uair eile a bhfaighidh VPN bás tar éis uasghrádú eisiúna, cuir cúig cheist in ord: cén tsraith a tháirg an chéad earráid, ar dhiúltaigh polasaí TLS don deimhniúchán, an féidir an cipire a chaibidliú sa dá threo, ar suiteáladh an pacáiste agus a bhreiseán i ndáiríre, agus cén leabharlann a lódálann an próiseas. Ní dhéantar ach ansin, nuair a fhilleann na cúig ar fad go glan, a bhfuil údar le laghdú leagain.