OpenVPN профилинен key-method өчүрүү эч нерсени өзгөртпөйт

Жылдар бою иштеген профиль күтүлбөгөн жерден башталуудан баш тартат, ал эми билдирүү эч ким кошконун эстебеген нускаманы атайт: key-method. Кийинки издөө натыйжасы шайкештик үчүн key-method 2 кошууну сунуштайт, бирок бул башка доордун кеңеши. Сапты четке каккан талдоочу учурдагы жана анда мындай опция такыр жок. Сапты өчүрүү башталууну оңдойт жана эки тараптын сессияны кантип коргошуна эч нерсе өзгөртпөйт.

Профилдеги нерсе менен протоколдун иш жүзүндө жасаганынын ортосундагы ушул ажырым — бул жердеги бүт тема, ал адамдар бир убакта жасаган дагы бир нече өзгөртүүлөрдү да түшүндүрөт. Ошондой эле бул өзгөртүүлөр эмне үчүн көбүнчө бир топтом болуп келерин түшүндүрөт.

Белги — кол алышуунун ишке ашпашы эмес, талдоо катасы

Опциялар кандайдыр бир пакет жөнөтүлө электе окулат. Белгисиз нускамасы бар профиль ошол этапта ишке ашпайт, ошондуктан процесс тармакка эч качан жетпейт жана кол алышуу катасын эч качан чыгарбайт. Сөз айкашы адатта опцияны жана файлды атайт, бул аны себепке байлоо эң оңой ишке ашпоолордун бирине айландырат. Анда пакет да, маршрут да, коргоочу дубал да катышпайт.

openvpn --config /etc/openvpn/client/office.ovpn --verb 3 --log /tmp/parse.log
grep -n 'Options error' /tmp/parse.log

Эгер билдирүү нускаманы атаса, диагноз бүттү: файлда бул курулуш кабыл албаган нерсе бар. Эгер билдирүү анын ордуна файл жолун атаса, маселе жетишпеген include же ачкыч, бул ошол эле баштоо этабынын башка бөлүгү.

Клиентке же серверге эскирээк протокол режими керек деген жыйынтык чыгарууга болбойт. Талдоо ишке ашпашы — сиздин файлыңыз менен бинардык файлдын ортосундагы сөздүк маселеси, ал эми бинардык файл бул учурда өз сөздүгүнөн бир сөздү эле түшүрүп салган.

Нускама жана берүү форматы эки башка нерсе

Эски key-method опциясы TLS ачкыч алмашуусунун кантип алкакталаарын тандачу, ал эми заманбап алмашуу — ошол опция бир кезде талап кылган көп пакеттүү ыкма. Опция жоголду, анткени ал мындан ары эч нерсе тандаган жок; ал атаган формат жалгыз болуп калды. Ошондуктан сапты өчүрүү сессияны мурункудай эле ошол алкакта калтырат. Тексттик өзгөртүү муну эч бир багытта өзгөртө албайт.

Ошондуктан «2-ыкманы калыбына келтирүү» үчүн эски бинардык файлды кайра алып келүү — туура эмес оңдоо. Ал эски демейки маанилери бар эскирээк талдоочудан башка эч нерсени калыбына келтирбейт жана андан кийин келген түзөтүүлөрдү сизден алат. Ошол эле логика сертификатты текшерүүнү же шифрлер тизмесин алсыратууга да тиешелүү, байланыш кайтат деген үмүт менен.

Пайдалуу текшерүү — версия жана талданган конфигурация, файлдагы сөздүн болушу эмес:

openvpn --version | head -n 1
grep -rn 'key-method' /etc/openvpn/ 2>/dev/null

Эмнени өчүрүү керек жана кайсы файлдан

Иштеп жаткан процесс чындап окуган файлды эле оңдоңуз. Пакеттелген системаларда бул адатта unit көрсөткөн клиент же сервер каталогундагы профиль, ал эми сиздин үй каталогыңызда маалымдама үчүн сакталган көчүрмө эмес. Түзүлгөн профиль үлгүдөн кайра курулушу мүмкүн, ошондуктан орнотулган көчүрмөдө гана жасалган өзгөртүү кийинки provisioning жүгүртүүсүнөн кийин кайтат.

Эскирген сапты өчүрүңүз жана акыркы чекитке, сертификаттарга, шифр саясатына жана башкаруу каналынын жөндөөлөрүнө тийбеңиз. Булар процесс үчүн керектүү колдоого алынган опциялар жана талдоо катасына тиешеси жок. Эгер ошол эле профилде сиз тааныбаган башка нускамалар болсо, процесс башталганга чейин алардын тобун өчүрүүнүн ордуна ар бирин иштеп жаткан версияңыз менен салыштырыңыз.

Андан кийин көздөлгөн инстанцияны иштетип, анын баштоо чыгышын окуңуз. Угуучу бар учурдагы таза баштоо — бул этаптын бүткөнүн ырастоо; андан кийинки клиент сынагы башка суроого жооп берет.

Четке кагылган профиль жана четке кагылган клиент окшош көрүнөт

Эки ишке ашпоо окшош колдоо темаларын жаратат жана ар башка далилди талап кылат. Өз конфигурациясын четке каккан сервер эч качан башталбайт, ошондуктан эч бир клиент ага туташа албайт. Жакшы башталып, бир клиентти четке каккан сервер иштеп жатат, ал эми анын журналында себеби бар: сертификат маселеси, клиент кабыл албаган түртүлгөн опция, шифрдын дал келбеши.

Өчүрүлгөн опция экинчи учур үчүн диагноз эмес, ага кайрылуу ошол эле саатты эки жолу корот. Эгер клиент журналы сервердин баш тартуусун көрсөтсө, ошол баш тартууну окуңуз; эгер жергиликтүү ката көрсөтсө, текшериле турган файл — клиент профили. Эми жок нускамага кайрылуу эки иликтөөнү тең бирдей кечиктирет.

Сап эч качан жооп бербеген шайкештик суроолору

Бул нускама менен жүргөн профилдер адатта белгилүү бир платформа тууралуу окуяны алып жүрөт, ал эми окуя техникалык себептен узак жашайт. Мобилдик же десктоп клиентке дагы эле толук колдоого алынган профиль керек: ишенимдүү сертификат тизмеги, эки учун тең кабыл алган дайындар шифры, эки учун тең ишке ашырган башкаруу каналынын режими жана клиенттин курулушу четке какпаган нускамалар. Булардын эч бири эски key-method сабынын бар же жоктугу менен чечилбейт.

Кысуу — формасы окшош өзүнчө саясат маселеси. key-method сабын өчүрүү кысуу нускамасынын орнотууңузда колдоого алынганы же кабыл алынганы тууралуу эч нерсе айтпайт, ал эми эки чечимди көз карандысыз кабыл алуу керек. Бир нерсе туташканга чейин бир нече коопсуздукка тиешелүү жөндөөнү бир убакта өчүрүү — иштеп жаткан профилди түшүндүрүү кыйын профилге айландырган жол.

Эмнени жана эмне үчүн өчүргөнүңүз тууралуу кыска жазуу кармаңыз: опция, аны четке каккан версия жана катаны көрсөткөн буйрук. Профилди мураска алган кийинки адамга дал ушул үч факты керек болот, аларды азыр жазуу кийин калыбына келтирүүдөн арзан.