OpenVPN профилінен key-method жою ештеңені өзгертпейді

Жылдар бойы жұмыс істеген профиль кенеттен іске қосылудан бас тартады, ал хабарлама ешкім қосқанын есіне түсірмейтін нұсқаулықты атайды: key-method. Келесі іздеу нәтижесі үйлесімділік үшін key-method 2 қосуды ұсынады, бірақ бұл басқа дәуірдің кеңесі. Жолды қабылдамаған талдағыш қазіргі болып табылады және онда мұндай опция мүлде жоқ. Жолды жою іске қосылуды түзетеді және екі тараптың сессияны қалай қорғайтынына ештеңе өзгертпейді.

Профильде бар нәрсе мен протоколдың іс жүзінде жасайтыны арасындағы осы алшақтық — осы жердегі бүкіл тақырып, ол адамдар бір уақытта жасайтын бірнеше басқа өзгерісті де түсіндіреді. Бұл өзгерістердің әдетте бір бума болып келетінін де түсіндіреді.

Симптом — қол алысу сәтсіздігі емес, талдау қатесі

Опциялар кез келген пакет жіберілмес бұрын оқылады. Белгісіз нұсқаулығы профиль сол кезеңде сәтсіз аяқталады, сондықтан процесс желіге ешқашан жетпейді және қол алысу қатесін ешқашан шығармайды. Тұжырым әдетте опция мен файлды атайды, бұл оны себепке телуге ең оңай сәтсіздіктердің біріне айналдырады. Онда пакет те, маршрут та, бағдарламалық қорған да қатыспайды.

openvpn --config /etc/openvpn/client/office.ovpn --verb 3 --log /tmp/parse.log
grep -n 'Options error' /tmp/parse.log

Егер хабарлама нұсқаулықты атаса, диагностика аяқталды: файлда бұл құрастырылым қабылдамайтын нәрсе бар. Егер хабарлама оның орнына файл жолын атаса, мәселе жетіспейтін include немесе кілт, бұл сол іске қосу кезеңінің басқа бөлігі.

Клиентке немесе серверге ескірек протокол режимі қажет деген қорытынды жасауға болмайды. Талдау сәтсіздігі — сіздің файлыңыз бен бинарлық файл арасындағы сөздік мәселесі, ал бинарлық файл бұл жағдайда өз сөздігінен бір сөзді ғана тастап кетті.

Нұсқаулық пен тарату пішімі екі бөлек нәрсе

Ескі key-method опциясы TLS кілт алмасуының қалай қаңқаланатынын таңдайтын, ал заманауи алмасу — сол опция бір кездері талап еткен көппакетті әдіс. Опция жоғалды, өйткені ол енді ештеңе таңдамайтын; ол атаған пішім жалғыз болып қалды. Сондықтан жолды жою сессияны бұрынғыдай сол қаңқамен қалдырады. Мәтіндік өзгеріс мұны ешбір бағытта өзгерте алмайды.

Сондықтан «2-әдісті қалпына келтіру» үшін ескі бинарлық файлды қайтару — дұрыс емес жөндеу. Ол ескі әдепкі мәндері бар ескірек талдағыштан басқа ештеңені қалпына келтірмейді және одан кейін келген түзетулерден айырады. Дәл сол логика сертификат тексеруін немесе шифрлар тізімін әлсіретуге де қатысты, байланыс қайтады деген үмітпен.

Пайдалы тексеру — нұсқа мен талданған конфигурация, файлдағы сөздің болуы емес:

openvpn --version | head -n 1
grep -rn 'key-method' /etc/openvpn/ 2>/dev/null

Нені жою керек және қай файлдан

Іске қосылған процесс шын мәнінде оқитын файлды ғана өңдеңіз. Пакеттелген жүйелерде бұл әдетте unit көрсеткен клиент немесе сервер каталогындағы профиль, ал сіздің үй каталогыңызда анықтама үшін сақталған көшірме емес. Жасалған профиль үлгіден қайта құрылуы мүмкін, сондықтан тек орналастырылған көшірмеде жасалған өзгеріс келесі provisioning жүгірісінен кейін қайта оралады.

Ескірген жолды жойыңыз және соңғы нүктеге, сертификаттарға, шифр саясатына және басқару арнасының параметрлеріне тиіспеңіз. Бұлар процеске қажет қолдау көрсетілетін опциялар және талдау қатесіне қатысы жоқ. Егер сол профильде сіз танымайтын басқа нұсқаулықтар болса, процесс іске қосылғанша олардың тобын жоюдың орнына әрқайсысын іске қосып отырған нұсқаңызбен салыстырыңыз.

Содан кейін көзделген дананы іске қосыңыз және оның іске қосылу шығысын оқыңыз. Тыңдаушы бар кездегі таза іске қосылу — бұл кезеңнің аяқталғанын растау; одан кейінгі клиент сынағы басқа сұраққа жауап береді.

Қабылданбаған профиль мен қабылданбаған клиент ұқсас көрінеді

Екі сәтсіздік ұқсас қолдау тақырыптарын тудырады және әртүрлі дәлелді қажет етеді. Өз конфигурациясын қабылдамайтын сервер ешқашан іске қосылмайды, сондықтан ешбір клиент оған қосыла алмайды. Жақсы іске қосылып, бір клиентті қабылдамайтын сервер жұмыс істеп тұр, ал журналында себебі бар: сертификат мәселесі, клиент қабылдамайтын итерілген опция, шифр сәйкессіздігі.

Жойылған опция екінші жағдай үшін диагностика емес, оған жүгіну сол бір сағатты екі рет ысырап етеді. Егер клиент журналы сервердің бас тартуын көрсетсе, сол бас тартуды оқыңыз; егер жергілікті қатені көрсетсе, тексерілетін файл — клиент профилі. Енді жоқ нұсқаулыққа жүгіну екі тергеуді де бірдей кешіктіреді.

Жол ешқашан жауап бермеген үйлесімділік сұрақтары

Осы нұсқаулықпен таралатын профильдер әдетте белгілі бір платформа туралы әңгіме алып жүреді, ал әңгіме техникалық себептен ұзақ өмір сүреді. Мобильді немесе десктоп клиентке әлі де толық қолдау көрсетілетін профиль қажет: сенімді сертификат тізбегі, екі ұш қабылдайтын деректер шифры, екі ұш іске асыратын басқару арнасы режимі және клиенттің құрастырылымы қабылдамайтын нұсқаулықтардың болмауы. Бұлардың ешқайсысы ескі key-method жолының болуымен немесе болмауымен шешілмейді.

Қысу — пішіні бірдей жеке саясат мәселесі. key-method жолын жою қысу нұсқаулығының орналастыруыңызда қолдау көрсетілетіні немесе қабылданатыны туралы ештеңе айтпайды, ал екі шешімді тәуелсіз қабылдау керек. Бір нәрсе қосылғанша бірнеше қауіпсіздікке қатысты параметрді бірден жою — жұмыс істеп тұрған профильді түсініксіз профильге айналдыратын жол.

Нені және неге жойғаныңыз туралы қысқа жазба ұстаңыз: опция, оны қабылдамаған нұсқа және қатені көрсеткен пәрмен. Профильді мұраға алатын келесі адамға дәл осы үш дерек қажет болады, және оларды қазір жазу кейін қалпына келтіргеннен арзан.