Me yasa OpenVPN ya daina haɗawa bayan sabunta Ubuntu?

Bayanan martabar VPN da suke aiki a makon da ya gabata suna karyewa bayan sabunta fitowar Ubuntu, kuma rajistan ba ya yawan ambaton sabuntawar. Abin da yake ambata shi ne shigar da ta gaza: musayar hannu ta TLS, sirrin da aka tattauna don tashar bayanai, fakitin da aka shigar, ko kwafin OpenSSL da fayil ɗin ke lodawa lokacin farawa. Kowace shiga tana da siffar kuskurenta da gyaran nata, wanda ke sa rarrabawa aiki na farko da gyara aiki na biyu. Ɗauki bayanin martabar a matsayin marar laifi har rajistan ya ambace shi.

Wace shiga ta gaza: musayar hannu, sirri, fakiti ko ɗakin karatu

Karanta rajistan abokin ciniki kafin ka taɓa bayanin martabar. farkon kuskure a fitarwa shi ne ke nuna shigar; duk abin da aka buga bayansa yawanci sakamakon wannan gazawar farko ne. Lokacin da abokin ciniki bai fara kwata-kwata ba, rajistan VPN shine fayil ɗin da bai dace a buɗe ba.

Ƙorafe-ƙorafen takaddun shaida da sa hannu, ko saƙo game da tsawon maɓalli, suna fitowa daga tashar sarrafawa da manufar ɗakin karatu da ke tafiyar da ita. Amma gargadi da ya fara da DEPRECATED OPTION yana cikin tattaunawar tashar bayanai maimakon haka.

Layi irin Unrecognized option rukuni na uku ne: sabon fayil ɗin ba ya karɓar umarnin da tsohon ya jure, don haka ana sake rubuta bayanin martabar maimakon sassauta ɗakin karatu. Gazawar fakiti kuma suna kama da wani abu dabam domin suna faruwa kafin kowane lambar rami ta gudana. Ƙarancin fayil, plugin da ba ya lodawa, ko ajiya da ke nuna wa sunan lambar da ba daidai ba duk suna haifar da wannan siffa. Alamomi huɗu, wurare huɗu da za a duba, kuma kusan babu haɗuwa tsakanin gyare-gyaren.

Lokacin da musayar hannu ta gaza, manufar TLS tana ƙin takardar shaidar

Ubuntu 22.04 ya matsar da tsarin zuwa OpenSSL 3, kuma matakin tsaro na asali a wannan reshe ya fi tsanani game da sa hannun takaddun shaida da girman maɓalli fiye da yadda 20.04 ya kasance. Takardar shaidar CA da aka sa hannu da tsohon narkewa, ko maɓalli ƙasa da ƙofar yanzu, yanzu suna gazawa yayin musayar hannu. Tun da babu abin da aka tabbatar, kuskuren yana karantawa kamar kalmar sirri mara kyau ko uwar garke matattu.

Ƙunƙwarar gyara tana haɗa igiyar sirri da wannan haɗin kawai. A cikin editan tebur, buɗe bayanin martabar, koma zuwa saitunan ci gaba, ka saka DEFAULT:@SECLEVEL=0 a filin sirrin TLS. Fayil ɗin maɓalli na NetworkManager yana ɗaukar wannan darajar a ƙarƙashin [vpn]:

[vpn]
tls-cipher=DEFAULT:@SECLEVEL=0

Sake kunna NetworkManager ka sake haɗawa, domin daemon tana adana bayanan martabar da aka yi nazari kuma in ba haka ba zai ci gaba da amfani da kwafin da yake da shi. San abin da layin ke yi kafin ka riƙe shi: wannan saitin ƙofa ce a kan wasu sigogin takarda da maɓalli, ba sunan sirri ba, don haka saukar da shi yana faɗaɗa abin da bayanin martabar ɗaya ke karɓa. Rubuta wace uwar garke ta buƙace shi ka kuma bar saitin da zarar mai gudanarwa ya sake fitar da kayan yau. Amma canza /etc/ssl/openssl.cnf yana kaiwa ga wannan ƙofar ga kowane shiri da ke karanta wancan fayil, wanda ya wuce VPN da nisa.

OpenVPN 2.6 yana buƙatar sirrin a jera don tattaunawa

Ubuntu 22.10 ya kawo OpenVPN 2.6, kuma a wannan fitowar --cipher ya daina zaɓar tashar bayanai da kansa. Sirrin dole ne kuma ya kasance a cikin jerin data-ciphers da aka tattauna, in ba haka ba abokin ciniki yana buga gargadin tsufa sannan ya kasa ɗaga ramin.

Plugin ɗin NetworkManager na wannan lokacin har yanzu yana rubuta tsohon umarni kawai. Wannan dalla tana raba binciken, domin bayanin martabar da aka gyara da hannu zai iya haɗawa daga shell kuma har yanzu ya gaza daga ƙaramin shirin tebur. Ƙara jerin zuwa fayil ɗin haɗin a ƙarƙashin [vpn]:

data-ciphers=AES-256-CBC

Yi amfani da darajar da uwar garke ke sanarwa, ba wadda ka tuna ba; uwar garke da ke ba da AES-256-GCM ba za ta tattauna da jerin abokin ciniki da ke ambaton CBC kawai ba. Sake kunna manaja ka sake haɗawa, sannan sake gwada daga shell tare da ba da sirrin a fili don tattaunawa da kuma madadi:

sudo openvpn --config client.ovpn --data-ciphers AES-256-CBC --data-ciphers-fallback AES-256-CBC

Idan wannan umarni ya ɗaga ramin, uwar garke, takaddun shaida da shaidar shiga duk suna lafiya, kuma kawai raunin da ya rage shine zaɓin da manaja ta adana. Gargadi game da umarnin keysize yana cikin wannan tsaftacewa: yi sharhi a kansa ka ajiye asalin fayil ɗin kusa da bayanin martabar.

Lalacewar fakiti da plugin suna kama da lalacewar VPN

Ba kowane gazawa bayan sabuntawa ne na sirri ba. Ajiyar OpenVPN da aka ƙara a ƙarƙashin sunan lambar da fitowar ba ta amfani da shi tana haifar da fakitin da ba ya shigarwa har abada, don haka kwatanta abin da lsb_release -a ke bayarwa da fayil ɗin jerin da ka ƙara. Ƙarancin universe sashe ko aljihun tsaro yana haifar da fakitin da ba za a same shi kwata-kwata ba. Dukansu suna barin bayanin martabar ba a taɓa shi ba kuma ramin ba zai yiwu ba.

Karanta kuskuren manajan fakiti kafin rajistan VPN. Idan ba a taɓa shigar da abokin ciniki ba, babu adadin gyaran bayanin martabar da zai haifar da musayar hannu.

Bayanan martabar abubuwa biyu da suka daina tambaya sune sigar plugin ɗin wannan labarin. Ƙalubalen yana zuwa daga plugin ɗin tabbatarwa, kuma sabuntawar da ta watsar ko ta maye gurbinsa tana barin bayanin martabar cikakke yayin da tambayar ta ɓace. Sake shigar da plugin ɗin da ake goyon baya maimakon goge abu na biyu don haɗin ya yi aiki.

Ɗakin karatun mai sayarwa zai iya ɓoye bayan kuskuren manufa

Wani tsari ya cancanci ganewa domin yana cin nasara a kan kowane gyaran manufa. Kayan aikin daidaita na mai sayar da kayan aiki na iya shigar da nasa ɗakunan karatun OpenSSL ya kuma sanya su gaba da kwafin tsarin a hanyar binciken lodawa. Sannan abokin ciniki ya fara da ɗakin karatun da babu wanda ya sabunta, kuma gazawar farawa tana kama da takardar shaidar da aka ƙi daidai.

Sake shigar da fakitin VPN ba ya canza wane ɗakin karatu ake samu da farko, kuma saukar da matakin TLS ba zai iya kaiwa ɗakin karatun da bai taɓa zuwa daga tsarin ba. Tambayi lodawa wane abubuwan sirri ne fayil ɗin ke warwarewa da gaske:

ldd /usr/sbin/openvpn | grep -i -E 'ssl|crypto'

Cire ko sake nuni da kwafin mai sayarwa, sannan sake gudanar da wannan dubawa. Sigar da ake tsammani dole ta kasance wadda ake amfani da ita kafin ka koma bayanin martabar.

Pin ɗin tsohon abokin ciniki yana sayen lokaci, ba magani ba

Riƙe sigar abokin ciniki na baya yana dawo da ramin muddin riƙon ya daɗe. Hakanan yana daskare sabuntawar tsaro na wancan fakitin kuma yana tsara irin wannan karyewar don sabuntawa ta gaba, don haka ɗauke shi a matsayin maɗaukakin lokaci mai kwanan wata, ba warwarewa ba.

Idan ka pin shi duk da haka, riƙe fakitin a fili domin sabuntawa marar kulawa ba za ta iya soke pin ɗin ba, rubuta dalili da ranar sake dubawa, ka kuma sanya tunatarwa don fitowar bayanin martaba ta gaba daga mai bayarwa. Yanayin da ya cancanci kiyayya shine bayanin martabar uwar garke da ke tattauna sirri na yanzu; da zarar ya wanzu, pin ɗin ba shi da wani hujja. Pin da ba a rubuta ba, akasin haka, yana zama katsewar da babu wanda zai iya bayaninsa bayan watanni shida, domin wanda ya aiwatar da shi ya riga ya wuce kuma fayil ɗin ba ya rubuta komai.

A gaba idan VPN ya mutu bayan sabunta fitowar, yi tambayoyi biyar a jere: wace shiga ta haifar da farkon kuskure, shin manufar TLS ta ƙi takardar shaidar, shin sirrin ana iya tattaunawa a duk kwatance biyu, shin an shigar da fakitin da plugin ɗinsa da gaske, kuma wane ɗakin karatu ne tsarin ke lodawa. Bayan duka biyar sun dawo da tsabta ne kawai raguwar sigar ke da ma'ana.