Liñas de cifrado obsoletas en perfís VPN antigos: leas antes de copiar

Este perfil escribiuse en 2016 e aínda se importa e aínda se conecta. É exactamente por iso que ninguén o mira. O cliente que algunha vez lía estas directivas desapareceu hai moito, e a compilación actual pode interpretar varias delas de forma distinta.

Que un ficheiro sobreviva non significa que a configuración estea ao día. Separar esas dúas ideas é a maior parte do traballo.

Averigüe que cliente escribiu o perfil

Empece polo emisor e a versión. O significado dunha directiva defíneo a implementación que a le. Unha liña que algunha vez elixía un algoritmo pode converterse nunha lista de reserva, unha advertencia ou un erro grave. Que versión a interpreta decide o resultado.

OpenVPN é o exemplo máis claro. A versión 2.5 introduciu data-ciphers e cambiou como participa a directiva máis antiga cipher na negociación. Un perfil que só leva cipher AES-128-CBC agora fai unha proposta moito máis estreita do que o seu autor pretendía.

Lea as notas da versión para o axuste que agora advirte ou falla. Unha advertencia no rexistro é un feito sobre a compilación actual, e pesa máis que o recordo de calquera sobre por que se engadiu a liña.

Mire que se negociou realmente

Que a importación funcione demostra a análise, non a política. O resultado negociado aparece no rexistro do cliente cando a conexión se levanta. Pode diferir de ambos extremos do ficheiro de configuración.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

Unha importación aceptada que descarta unha directiva en silencio deixa un perfil que se le dunha maneira e se comporta doutra. Esa fenda explica como un documento etiquetado como endurecido negocia algo máis feble do que afirma o seu propio texto. O rexistro é o único lugar onde se ve a diferenza. Léao antes de confiar no ficheiro.

Actualice o arranxo, non a liña

Colla o perfil que mantén o operador en lugar de ensamblar nomes de algoritmos ata que a importación deixe de queixarse. Engadir liñas por proba e erro inverte a dirección da corrección. Adapta o cliente a un servidor descoñecido en lugar de establecer que admite o servidor.

Pode que o servidor tamén necesite a actualización coordinada. Un cliente actual non pode crear soporte para unha proposta que a outra parte nunca ofrece. Ningunha opción do lado do cliente substitúe unha pasarela que non se actualizou.

O que non se debe sacrificar é a verificación. Eliminar as comprobacións de certificados, desactivar a comprobación do nome de host ou apagar as actualizacións para manter vivo un perfil antigo converte un problema de compatibilidade nun problema de confianza. Adoita ocorrer cunha pequena edición á vez.

Confirme o resultado e rexistre a excepción

Despois do cambio, inspeccione de novo o conxunto negociado e probe o recurso para o que existe o túnel. Un perfil que negocia o que vostede pretendía e aínda así non chega ao servizo ten un problema de enrutamento ou de identidade. Non ten un criptográfico.

Garde a configuración anterior que se sabía boa nun lugar protexido. Só é posible comparar mentres o ficheiro antigo siga existindo.

Documente calquera excepción de compatibilidade cun responsable e unha data de revisión. Un acordo temporal que ninguén posúe convértese en política permanente. A próxima persoa que lea o ficheiro asumirá que se elixiu deliberadamente.