Opinber VPN-stilling hætti að virka? Lestu bilunarskeiðið

Prófíllinn virkaði á þriðjudag, og á föstudag snýst biðlarinn í þrjátíu sekúndur og gefst upp. Ekkert hefur breyst á vélinni þinni. Það er einmitt málið: niðurhlaðin stilling lýsir einum hýsli á einu augnabliki, og rekstraraðilinn hinum megin hefur enga skyldu til að halda þeirri lýsingu sannri. Freistingin er að byrja að breyta öryggisstillingum þar til göngin koma upp aftur. Þessi instinkt er ástæðan fyrir því að fólk endar á að keyra prófíl með sannprófun vottorða óvirka, sem er verra en að hafa engin göng yfirleitt.

Skráin lýsir augnabliki, ekki samningi

Stillingarskrá er safn fullyrðinga: þetta hýsilsnafn hlustar á þessa gátt með þessum samskiptareglum, leggur fram vottorð sem passar við þetta nafn og samþykkir þessar auðkennisupplýsingar. Þegar einhver þeirra hættir að vera sönn er skráin úrelt og viðgerðin tilheyrir rekstraraðilanum við landamærin, ekki stillingunum þínum.

Opinberir hnútalistar gera þetta augljóst af eðli sínu. Hnútar eru reknir af sjálfboðaliðum, þeir birtast og hverfa, heimilisföng eru endurnýtt og gáttir eru lokaðar af því neti sem þau standa bak við. Listinn er skyndimynd sem er endurnýjuð, og afritið á disknum þínum er ljósmynd af eldri skyndimynd.

Viðskiptaþjónustur breytast hægar, en þó ekki aldrei. Vottorðayfirvöld skiptast, hlustandi flyst af sameiginlegu heimilisfangi yfir á sérstakt, gömlum samskiptareglum er hætt og nýr dulritunarlisti kemur. Sérhvert þessara er ósýnilegt þar til biðlarinn þinn reynir að tengjast og fær annað svar en skráin býst við.

Lestu bilunarskeiðið áður en þú snertir stillingu

Villuboðið segir hvaða fullyrðing brást, og hver fullyrðing hefur gjörólíka viðgerð. Að breyta dulritun þegar hýsilsnafnið leysist ekki lengur eyðir síðdegi og kennir engum neitt.

dig +short vpn.example.net
curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect}\n' --max-time 8 https://vpn.example.net:443/
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/null

Miðlína aðgreinir lokaða leið frá brotinni handabandi, og þriðja sýnir útgefanda og gildisdagsetningar vottorðsins sem raunverulega er lagt fram. Ef sá útgefandi er ekki sá sem prófíllinn festi, hefur vottorðið breyst, og enginn valkostur á biðlarahlið gerir gamla festinguna rétta aftur.

Vottorðs- og auðkennisbreytingar eru hljóðlátu

Flest bilun tilkynna sig. Auðkennisbreytingar gera það ekki, því biðlari sem festir vottorðsnafn mun hafna fullkomlega góðu nýju vottorði með skilaboðum sem margir lesa sem hugbúnaðarvillu. Göngin eru í lagi. Festingin er úrelt.

Leitaðu að auðkennisvalkostunum áður en þú ályktar eitthvað:

grep -nE '^(remote|proto|auth|verify-x509-name|tls-crypt|key-direction|ca) ' profile.ovpn
openssl x509 -in profile-ca.crt -noout -subject -dates

Ef prófíllinn ber innbyggt CA og rekstraraðilinn hefur skipt yfir á nýtt yfirvald, getur gamla skráin ekki staðfest nýja þjóninn. Að skipta CA-blokkinni út fyrir þá sem rekstraraðilinn birti er lögmæt viðgerð. Að eyða sannprófunarfyrirmælinu er það ekki, og það eru sömu lyklahöggin með allt öðrum úrslitum.

Uppfærsla biðlara getur framkallað sömu einkenni án nokkurrar breytingar hjá rekstraraðilanum. Valkostir sem þoldu hljóðlega eru nú hafnaðir, eða úreltri samskiptareglum er eytt. Það er samhæfingartakmörkun í hugbúnaðinum þínum, og það er þess virði að prófa aðra prófíl með sama biðlara áður en þú kennir þjóninum um.

Aðeins rekstraraðilinn getur birt gilt endurnýi

Þegar hnútur hverfur verður endurnýið að koma frá sama uppruna og birti upprunalegu útgáfuna. Prófíll sem berst í beinu skilaboði af því að hann „notar sama þjónsnafn“ er óstaðfest stilling frá óþekktum aðila, og að flytja hann inn gefur þeim aðila stjórn á leiðslu þinni.

Athugunin er ódýr. Sæktu núverandi skrá frá birta staðnum, bera endapunkt og samskiptareglur saman við listann og staðfestu fingrafar CA-efnisins í stað þess að treysta skráarnafninu:

curl -sS -o current.ovpn https://example.org/nodes/current.ovpn
sha256sum current.ovpn profile.ovpn
grep -nE '^(remote|proto) ' current.ovpn

Ef tveir hassarnir eru aðeins ólíkir í bilum hefurðu sniðbreytingu. Ef þeir eru ólíkir á endapunktum hefur rekstraraðilinn fært eitthvað og birta skráin er valdið. Ef birta skráin er eldri en sú sem þú hefur ertu líklega að skoða skyndiminni, og úrelta svarið mun senda þig í ranga átt.

Taktu gamla færsluna út og skráðu hvað gerðist

Þegar virkt endurnýi hefur verið staðfest skaltu eyða gömlu prófílinni í stað þess að halda henni sem varúðarlausn. Úrelt færsla sem tengist hálfpartinn er gildra: hún verður valin í truflun, hún mistekst hægt, og sá sem kembir fer fram á fyrstu tíu mínútum í röngu skránni.

Haltu stuttri skráningu utan stillingarinnar: dagsetninguna, gamla endapunktinn, bilunarskeiðið og hvað kom í staðinn. Opinberir hnútar skiptast, og sex vikum síðar kemur sama spurningin með annan mann. Ein lína í minnismiðaskrá svarar henni á sekúndum.

Ef frá einu neti hver hnútur bregst á sama hátt og frá öðru enginn, hættu að breyta prófílum og skoðaðu staðbundnu leiðina. Fangaportal, síað gáttabil eða afskeytandi milliþjónn framkalla sömu villur hjá óskyldum veitendum, og það mynstur er eina merkið um að vandamálið hafi aldrei verið skráin.