Эски VPN профилиндеги эскирген шифрлоо саптары: көчүрүүдөн мурун окуңуз

Бул профиль 2016-жылы жазылган, жана ал азыркыга чейин импорттолот жана азыркыга чейин туташат. Так ушундан улам эч ким ага карабайт. Бул нускамаларды бир кезде окуган клиент байыртан кеткен, ал эми учурдагы курулуш алардын бир нечесин башкача чечмелеши мүмкүн.

Файлдын сакталышы конфигурациянын учурда экенин билдирбейт. Бул эки идеяны бөлүү — иштин көп бөлүгү.

Профилди кайсы клиент жазганын аныктаңыз

Чыгаруучудан жана версиядан баштаңыз. Нускаманын маанисин аны окуган ишке ашыруу аныктайт. Бир кезде алгоритмди тандоочу сап резервдик тизмеге, эскертүүгө же катуу катага айланышы мүмкүн. Аны кайсы чыгарылыш чечмелейт — натыйжаны ошол чечет.

OpenVPN эң айкын мисал. 2.5 версиясы data-ciphers киргизди жана эски cipher нускамасынын сүйлөшүүлөргө кантип катышаарын өзгөрттү. Бир гана cipher AES-128-CBC алып жүргөн профиль азыр автору ойлогондон алда канча тар сунуш берет.

Азыр эскертүү берүүчү же иштебей калган жөндөө үчүн чыгарылыш эскертүүлөрүн окуңуз. Журналдагы эскертүү учурдагы курулуш тууралуу факт, жана ал сап эмне үчүн кошулганы тууралуу кимдин болбосун эсинен оор.

Чындыгында эмне сүйлөшүлгөнүн караңыз

Ийгиликтүү импорт талдоону далилдейт, саясатты эмес. Сүйлөшүлгөн натыйжа туташуу көтөрүлгөндөн кийин клиент журналында пайда болот. Ал конфигурация файлынын эки четине тең окшошпойт.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

Кабыл алынган импорт нускаманы унчукпай таштап кетсе, бирдей окулган, бирок башкача жүрүм-турум кылган профиль калтырат. Так ошол ажырым катууланган деп белгиленген документ өз тексти айткандан алсызыраак нерсеге макул болушун түшүндүрөт. Журнал — айырма көрүнгөн жалгыз жер. Файлга ишенүүдөн мурун аны окуңуз.

Сапты эмес, жайгашууну жаңыртыңыз

Оператор кармаган профилди алыңыз, импорт нааразы болууну токтотконго чейин алгоритм аттарын чогултуунун ордуна. Сыноо менен сап кошуу оңдоонун багытын тескери бурат. Ал сервер эмнени колдойт экенин аныктоонун ордуна клиентти белгисиз серверге ыңгайлаштырат.

Серверге да шайкеш жаңыртуу керек болушу мүмкүн. Учурдагы клиент каршы тарап эч качан сунуштабаган сунушка колдоо түзө албайт. Клиент тараптагы бир да опция жаңыртылбаган шлюзду алмаштырбайт.

Курмандыкка чалууга болбой турган нерсе — текшерүү. Сертификат текшерүүлөрүн алып салуу, хост атын текшерүүнү өчүрүү же эски профилди тирүү кармоо үчүн жаңыртууларды өчүрүү шайкештик маселесин ишеним маселесине айлантат. Бул адатта бир убакта бир кичине өзгөртүү менен болот.

Натыйжаны ырастаңыз жана өзгөчөлүктү жазыңыз

Өзгөртүүдөн кийин сүйлөшүлгөн топтомду кайра текшерип, туннель үчүн бар ресурсту сынаңыз. Көздөгөнүңүздү сүйлөшүп, бирок кызматка жете албаган профилде маршруттоо же инсандык маселеси бар. Анда криптографиялык маселе жок.

Мурунку белгилүү жакшы конфигурацияны корголгон жерде сактаңыз. Салыштыруу эски файл азыркыга чейин бар болгондо гана мүмкүн.

Ар кандай шайкештик өзгөчөлүгүн ээси жана карап чыгуу күнү менен документтештириңиз. Ээси жок убактылуу жайгашуу туруктуу саясатка айланат. Файлды кийинки окуган адам аны атайын тандалган деп ойлойт.