Հանրային VPN-ի կոնֆիգը դադարել է աշխատել? Կարդացեք ձախողման փուլը
Ներբեռնված պրոֆիլը նկարագրում է մեկ հոսթ մեկ օրում։ Կարդացեք, թե որ պնդումը ձախողվեց, ստուգեք մյուս կողմի ներկայացրած վկայականը և երբեք չանջատեք ստուգումը։
Պրոֆիլը աշխատում էր երեքշաբթի, իսկ ուրբաթ օրը հաճախորդը պտտվում է երեսուն վայրկյան և հանձնվում։ Ձեր մեքենայում ոչինչ չի փոխվել։ Հենց դա է խնդիրը։ ներբեռնված կոնֆիգուրացիան նկարագրում է մեկ հոսթ մեկ պահի համար, և մյուս կողմի օպերատորը պարտավոր չէ այդ նկարագրությունը ճշմարիտ պահել։ Գայթակղությունը սկսելն է խմբագրել անվտանգության կարգավորումները, մինչև թունելը նորից բարձրանա։ Հենց այդ բնազդն է պատճառը, որ մարդիկ ի վերջո գործարկում են պրոֆիլ՝ վկայականի ստուգումն անջատված, ինչը ավելի վատ է, քան ընդհանրապես թունել չունենալը։
Ֆայլը նկարագրում է պահ, ոչ պայմանագիր
Կոնֆիգուրացիայի ֆայլը պնդումների ամբողջություն է։ այս հոսթի անունը լսում է այս պորտում այս արձանագրությամբ, ներկայացնում է այս անվանը համապատասխան վկայական և ընդունում է այս հավատարմագրերը։ Երբ դրանցից որևէ մեկը դադարում է ճշմարիտ լինել, ֆայլը հնանում է, և ուղղումը պատկանում է սահմանի օպերատորի կողմին, ոչ թե ձեր կարգավորումներին։
Հանրային հանգույցների ցանկեր իրենց բնույթով դա դարձնում են ակնհայտ։ Հանգույցները կառավարում են կամավորները, դրանք հայտնվում և անհետանում են, հասցեները վերամշակվում են, իսկ պորտերը արգելափակվում են այն ցանցի կողմից, որի հետևում նրանք գտնվում են։ Ցանկը մի պահի պատկեր է, որը վերականգնվում է, իսկ ձեր սկավառակի պատճենը ավելի հին պահի պատկերի լուսանկար է։
Առևտրային ծառայությունները փոխվում են ավելի դանդաղ, բայց ոչ երբեք։ Վկայականների մարմինները փոխվում են, ունկնդիրը տեղափոխվում է ընդհանուր հասցեից առանձին հասցե, հին արձանագրությունը հանվում է, և նոր գաղտնագրման ցանկ է ժամանում։ Դրանցից յուրաքանչյուրը անտեսանելի է, մինչև ձեր հաճախորդը փորձի միանալ և ստանա այլ պատասխան, քան ֆայլն է սպասում։
Կարդացեք ձախողման փուլը նախքան որևէ կարգավորում դիպչելը
Սխալի հաղորդագրությունը ասում է, թե որ պնդումը ձախողվեց, և յուրաքանչյուր պնդում ունի բոլորովին այլ ուղղում։ Գաղտնագրերի խմբագրումը, երբ հոսթի անունը այլևս չի լուծվում, կորցնում է կես օր և ոչ մեկին ոչինչ չի սովորեցնում։
| What happens | The assertion that broke | Supported response |
|---|---|---|
| Name never resolves | The host still exists under that name | Get a current endpoint from the operator |
| TCP connect times out | The listener is on that port and reachable | Check the current published port, then the local network |
| TLS or key exchange fails | The peer presents the expected identity | Compare the certificate, not the cipher list |
| Authentication rejected | The account is still valid | Get credentials reissued or stop using the service |
dig +short vpn.example.net
curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect}\n' --max-time 8 https://vpn.example.net:443/
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/nullՄիջին տողը բաժանում է արգելափակված ուղին կոտրված ձեռքսեղմումից, իսկ երրորդը ցույց է տալիս փաստացի ներկայացված վկայականի թողարկողին և վավերականության ամսաթվերը։ Եթե այդ թողարկողը այն չէ, ինչը պրոֆիլը ամրացրել էր, վկայականը փոխվել է, և հաճախորդի կողմի ոչ մի տարբերակ չի վերադարձնի հին ամրացումը ճիշտ։
Վկայականի և ինքնության փոփոխությունները լուռներն են
Խափանումների մեծ մասը հայտարարում է իր մասին։ Ինքնության փոփոխությունները՝ ոչ, որովհետև վկայականի անունը ամրացնող հաճախորդը կմերժի միանգամայն լավ նոր վկայական այն հաղորդագրությամբ, որը շատերը կարդում են որպես ծրագրային սխալ։ Թունելը կարգին է։ Ամրացումը հնացել է։
Որևէ եզրակացություն անելուց առաջ փնտրեք ինքնության ընտրանքները՝
grep -nE '^(remote|proto|auth|verify-x509-name|tls-crypt|key-direction|ca) ' profile.ovpn
openssl x509 -in profile-ca.crt -noout -subject -datesԵթե պրոֆիլը կրում է ներկառուցված CA, և օպերատորը տեղափոխվել է նոր մարմին, հին ֆայլը չի կարող վավերացնել նոր սերվերը։ CA բլոկը օպերատորի հրապարակածով փոխարինելը օրինական ուղղում է։ Ստուգման հրահանգը ջնջելը՝ ոչ, և դրանք նույն ստեղնահարվածներն են՝ բոլորովին այլ արդյունքով։
Հաճախորդի թարմացումը կարող է առաջացնել նույն ախտանիշը՝ առանց օպերատորի որևէ փոփոխության։ Այն ընտրանքները, որոնք լուռ հանդուրժվում էին, այժմ մերժվում են, կամ հնացած արձանագրություն է հանվում։ Սա ձեր ծրագրաշարի համատեղելիության սահմանն է, և արժե փորձել երկրորդ պրոֆիլ նույն հաճախորդով՝ նախքան սերվերին մեղադրելը։
Միայն օպերատորը կարող է հրապարակել վավեր փոխարինում
Երբ հանգույցը անհետանում է, փոխարինումը պետք է գա այն նույն աղբյուրից, որը հրապարակել է բնօրինակը։ Ուղիղ հաղորդագրությամբ ժամանող պրոֆիլը, քանի որ «օգտագործում է նույն սերվերի անունը», անհայտ կողմի չստուգված կոնֆիգուրացիա է, և դրա ներմուծումը այդ կողմին տալիս է ձեր երթուղավորման վերահսկողությունը։
Ստուգումը էժան է։ Բերեք ընթացիկ ֆայլը հրապարակված վայրից, համեմատեք վերջնակետն ու արձանագրությունը ցանկի հետ, և հաստատեք CA նյութի մատնահետքը՝ ֆայլի անվանը վստահելու փոխարեն՝
curl -sS -o current.ovpn https://example.org/nodes/current.ovpn
sha256sum current.ovpn profile.ovpn
grep -nE '^(remote|proto) ' current.ovpnԵթե երկու հեշերը տարբերվում են միայն բացատներով, դուք ունեք ձևաչափի փոփոխություն։ Եթե դրանք տարբերվում են վերջնակետերով, օպերատորը ինչ-որ բան տեղափոխել է, և հրապարակված ֆայլը հեղինակությունն է։ Եթե հրապարակված ֆայլը ավելի հին է, քան ձերը, հավանաբար դիտում եք քեշ, և հնացած պատասխանը ձեզ կուղարկի սխալ ուղղությամբ։
Հանեք հին գրառումը և արձանագրեք, թե ինչ եղավ
Աշխատող փոխարինումը ստուգելուց հետո ջնջեք հին պրոֆիլը՝ ավելի լավ, քան պահել այն որպես պահուստ։ Կիսով միացող հին գրառումը թակարդ է։ այն կընտրվի խափանման ժամանակ, դանդաղ կձախողվի, և վրիպազերծողը առաջին տասը րոպեն կանցկացնի սխալ ֆայլի վրա։
Պահեք կարճ գրառում կոնֆիգուրացիայից դուրս՝ ամսաթիվը, հին վերջնակետը, ձախողման փուլը և ինչը փոխարինեց այն։ Հանրային հանգույցները փոխվում են, և վեց շաբաթ անց նույն հարցը գալիս է այլ մարդու հետ։ Նոթերի ֆայլի մեկ տողը վայրկյանների ընթացքում պատասխանում է դրան։
Եթե մի ցանցից ամեն հանգույց ձախողվում է նույն կերպ, իսկ մյուսից՝ ոչ մեկը, դադարեցրեք պրոֆիլների խմբագրումը և նայեք տեղական ուղուն։ Գերեվարող պորտալը, զտված պորտերի տիրույթը կամ ընդհատող պրոքսին կառաջացնեն նույնական սխալներ անկապ մատակարարների մոտ, և հենց այդ օրինաչափությունն է միակ ազդանշանը, որ խնդիրը երբեք ֆայլը չի եղել։