Baris cipher usang di profil VPN lama: baca sebelum menyalin

Profil ini ditulis pada 2016, dan masih bisa diimpor dan masih tersambung. Justru karena itulah tidak ada yang melihatnya. Klien yang dulu membaca direktif ini sudah lama hilang, dan build saat ini mungkin menafsirkan beberapa di antaranya secara berbeda.

Berkas yang bertahan bukan berarti konfigurasinya mutakhir. Memisahkan kedua gagasan itu adalah sebagian besar pekerjaannya.

Cari tahu klien mana yang menulis profil

Mulailah dari penerbit dan versinya. Makna sebuah direktif ditentukan oleh implementasi yang membacanya. Baris yang dulu memilih algoritme bisa menjadi daftar cadangan, peringatan, atau kesalahan keras. Rilis mana yang menafsirkannya menentukan hasilnya.

OpenVPN adalah contoh paling jelas. Versi 2.5 memperkenalkan data-ciphers dan mengubah cara direktif lama cipher ikut serta dalam negosiasi. Profil yang hanya membawa cipher AES-128-CBC sekarang mengajukan proposal yang jauh lebih sempit daripada yang dimaksud penulisnya.

Baca catatan rilis untuk pengaturan yang sekarang memperingatkan atau gagal. Peringatan di log adalah fakta tentang build saat ini, dan itu lebih kuat daripada ingatan siapa pun tentang alasan baris itu ditambahkan.

Lihat apa yang sebenarnya dinegosiasikan

Impor yang berhasil membuktikan penguraian, bukan kebijakan. Hasil yang dinegosiasikan muncul di log klien setelah koneksi menyala. Hasil itu bisa berbeda dari kedua ujung berkas konfigurasi.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

Impor yang diterima tetapi diam-diam membuang direktif meninggalkan profil yang terbaca satu cara dan berperilaku lain. Celah itulah yang membuat dokumen berlabel diperkeras menegosiasikan sesuatu yang lebih lemah daripada yang diklaim teksnya sendiri. Log adalah satu-satunya tempat perbedaan itu terlihat. Bacalah sebelum mempercayai berkasnya.

Tingkatkan pengaturannya, bukan barisnya

Ambil profil yang dipelihara operator alih-alih merakit nama algoritme sampai impor berhenti mengeluh. Menambahkan baris dengan coba-coba membalik arah perbaikannya. Itu menyesuaikan klien dengan server yang tidak dikenal alih-alih menetapkan apa yang didukung server.

Server mungkin juga memerlukan peningkatan yang terkoordinasi. Klien saat ini tidak dapat menciptakan dukungan untuk proposal yang tidak pernah ditawarkan pihak lain. Tidak ada opsi di sisi klien yang menggantikan gateway yang belum diperbarui.

Yang tidak boleh dikorbankan adalah verifikasi. Menghapus pemeriksaan sertifikat, menonaktifkan pemeriksaan nama host, atau mematikan pembaruan agar profil lama tetap hidup mengubah masalah kompatibilitas menjadi masalah kepercayaan. Itu biasanya terjadi satu suntingan kecil pada satu waktu.

Pastikan hasilnya dan catat pengecualiannya

Setelah perubahan, periksa lagi rangkaian yang dinegosiasikan dan uji sumber daya yang menjadi alasan terowongan itu ada. Profil yang menegosiasikan apa yang Anda maksudkan tetapi tetap tidak mencapai layanan memiliki masalah perutean atau identitas. Profil itu tidak memiliki masalah kriptografis.

Simpan konfigurasi yang sebelumnya diketahui baik di tempat yang terlindungi. Perbandingan hanya mungkin selama berkas lama masih ada.

Dokumentasikan setiap pengecualian kompatibilitas dengan pemilik dan tanggal tinjauan. Penyesuaian sementara yang tidak dimiliki siapa pun menjadi kebijakan permanen. Orang berikutnya yang membaca berkas itu akan menganggapnya dipilih dengan sengaja.