Ескі VPN профильдеріндегі ескірген шифрлау жолдары: көшіру алдында оқыңыз

Бұл профиль 2016 жылы жазылған, және ол әлі импортталады және әлі қосылады. Дәл сондықтан оған ешкім қарамайды. Бұл нұсқауларды бір кездері оқыған клиент әлдеқашан кеткен, ал қазіргі жинақ олардың бірнешеуін басқаша түсіндіруі мүмкін.

Файлдың сақталуы конфигурацияның өзекті екенін білдірмейді. Осы екі идеяны бөлу — жұмыстың көп бөлігі.

Профильді қай клиент жазғанын анықтаңыз

Шығарушыдан және нұсқадан бастаңыз. Нұсқаудың мағынасын оны оқитын іске асыру анықтайды. Бір кездері алгоритмді таңдаған жол резервтік тізімге, ескертуге немесе қатаң қатеге айналуы мүмкін. Оны қай шығарылым түсіндіретіні нәтижені шешеді.

OpenVPN ең айқын мысал. 2.5 нұсқасы data-ciphers енгізді және ескі cipher нұсқауының келіссөздерге қалай қатысатынын өзгертті. Тек cipher AES-128-CBC бар профиль енді авторы ойлағаннан әлдеқайда тар ұсыныс жасайды.

Енді ескертетін немесе сәтсіз аяқталатын параметр үшін шығарылым жазбаларын оқыңыз. Журналдағы ескерту ағымдағы жинақ туралы факт, және ол жолдың не үшін қосылғаны туралы кез келгеннің естелігінен де маңыздырақ.

Нақты ненің келісілгенін қараңыз

Сәтті импорт талдауды дәлелдейді, саясатты емес. Келісілген нәтиже байланыс көтерілгеннен кейін клиент журналында пайда болады. Ол конфигурация файлының екі шетінен де өзгеше болуы мүмкін.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

Қабылданған импорт нұсқауды үнсіз тастап кетсе, бірдей оқылатын, бірақ басқаша әрекет ететін профиль қалдырады. Дәл осы алшақтық қатайтылған деп белгіленген құжаттың өз мәтіні айтқаннан әлсіздеу нәрсеге келісуін түсіндіреді. Журнал — айырмашылық көрінетін жалғыз орын. Файлға сенбес бұрын оны оқыңыз.

Жолды емес, реттеуді жаңартыңыз

Оператор ұстайтын профильді алыңыз, импорт шағымдануды тоқтатқанша алгоритм атауларын жинаудың орнына. Сынақ арқылы жол қосу түзету бағытын кері айналдырады. Ол сервердің нені қолдайтынын анықтаудың орнына клиентті белгісіз серверге бейімдейді.

Серверге де үйлестірілген жаңарту қажет болуы мүмкін. Ағымдағы клиент қарсы жақ ешқашан ұсынбайтын ұсынысқа қолдау жасай алмайды. Клиент жағындағы ешбір опция жаңартылмаған шлюзді алмастырмайды.

Бас тартуға болмайтын нәрсе — тексеру. Сертификат тексерулерін алып тастау, хост атауын тексеруді өшіру немесе ескі профильді тірі ұстау үшін жаңартуларды өшіру үйлесімділік мәселесін сенім мәселесіне айналдырады. Бұл әдетте бір уақытта бір шағын өңдеумен болады.

Нәтижені растаңыз және ерекшелікті тіркеңіз

Өзгерістен кейін келісілген жиынтықты қайта тексеріп, туннель пайда болған ресурсты сынаңыз. Көздегеніңізді келісіп, бірақ қызметке жете алмайтын профильде бағдарлау немесе сәйкестік мәселесі бар. Онда криптографиялық мәселе жоқ.

Алдыңғы белгілі жақсы конфигурацияны қорғалған жерде сақтаңыз. Салыстыру ескі файл әлі бар кезде ғана мүмкін.

Кез келген үйлесімділік ерекшелігін иесімен және қарау күнімен құжаттаңыз. Иесі жоқ уақытша реттеу тұрақты саясатқа айналады. Файлды келесі оқитын адам оны әдейі таңдалған деп ойлайды.