Ubuntu жаңыртылгандан кийин OpenVPN эмне үчүн туташуды токтотту?

Өткөн аптада иштеген VPN профилдери Ubuntu чыгарылышын жаңырткандан кийин бузулат, ал эми журнал жаңыртууну сейрек эскерет. Ал атаганы — ишке ашпаган катмар: TLS кол алышуу, маалымат каналы үчүн сүйлөшүлгөн шифр, орнотулган пакет же программа ишке киргенде жүктөгөн OpenSSL көчүрмөсү. Ар бир катмардын өз ката формасы жана өз оңдоосу бар, ошондуктан классификация биринчи иш, оңдоо экинчи иш. Журнал аны атамайынча профилди күнөөсүз деп эсептеңиз.

Кайсы катмар ишке ашпады: кол алышуу, шифр, пакет же китепкана

Профилге тийүүдөн мурун кардар журналын окуңуз. Чыгуудагы эң эрте ката катмарды аныктайт; андан кийин басылгандын баары адатта ошол биринчи ишке ашпоонун кесепети. Кардар такыр ишке кирбесе, VPN журналы ачууга туура эмес файл.

Сертификаттар жана кол тамгалар тууралуу даттануулар, же ачкычтын узундугу тууралуу билдирүү башкаруу каналынан жана аны жөнгө салган китепкана саясатынан келет. Ал эми DEPRECATED OPTION деп башталган эскертүү маалымат каналынын сүйлөшүүсүнө таандык.

Ушундай сап Unrecognized option үчүнчү категория: жаңы программа эскиси көтөргөн нускаманы мындан ары кабыл албайт, ошондуктан китепкананы бошотуунун ордуна профилди кайра жазуу керек. Пакеттин бузулушу дагы башкача көрүнөт, анткени алар туннелдин коддору иштегенге чейин болот. Жок программа, жүктөлбөгөн плагин же туура эмес коддук атка шилтеме кылган кампа — баары ушундай форма берет. Төрт белги, кароо үчүн төрт жер жана оңдоолордун ортосунда дээрлик эч кандай кайчылашуу жок.

Кол алышуу ишке ашпаса, TLS саясаты сертификатты четке кагат

Ubuntu 22.04 системаны OpenSSL 3кө өткөрдү, ал эми ал тармактагы демейки коопсуздук деңгээли сертификат кол тамгаларына жана ачкыч өлчөмдөрүнө 20.04кө караганда катуураак. Эски дайджест менен кол коюлган CA сертификаты же азыркы чектен төмөн ачкыч эми кол алышуу учурунда ишке ашпайт. Азырынча эч нерсе аутентификацияланбагандыктан, ката туура эмес сырсөз же өлүк сервер сыяктуу окулат.

Тар оңдоо шифр сабын ушул туташууга гана тиркейт. Иш такта редакторунда профилди ачып, кеңейтилген жөндөөлөргө өтүп, DEFAULT:@SECLEVEL=0 дегенди TLS шифр талаасына коюңуз. NetworkManager ачкыч файлы [vpn] астында ушундай эле маанини алат:

[vpn]
tls-cipher=DEFAULT:@SECLEVEL=0

NetworkManagerди кайра иштетип, кайра туташыңыз, анткени демон талданган профилдерди кэштейт жана болбосо колундагы көчүрмөнү колдоно берет. Сап эмне кылаарын сактаардан мурун билиңиз: бул жөндөө шифрдин аты эмес, бир нече сертификат жана ачкыч параметрлерине карата чек, ошондуктан аны төмөндөтүү жалгыз профил кабыл алган аймакты кеңейтет. Кайсы сервер талап кылганын жазып коюңуз жана оператор учурдагы материалды кайра чыгарганда жөндөөдөн баш тартыңыз. Ал эми /etc/ssl/openssl.cnf өзгөртүү ошол файлды окуган ар бир программа үчүн ушундай эле чекке жетет, бул VPNден алда канча алыс.

OpenVPN 2.6 шифрдин сүйлөшүү үчүн тизмеленишин талап кылат

Ubuntu 22.10 OpenVPN 2.6ны алып келди, жана ал чыгарылышта --cipher маалымат каналын өзү тандабай калат. Шифр сүйлөшүлгөн data-ciphers тизмесинде да болушу керек, болбосо кардар эскирүү эскертүүсүн басып, анан туннелди көтөрө албайт.

Ошол мезгилдеги NetworkManager плагини дагы эле эски нускаманы гана жазып жүрдү. Бул деталь диагностиканы бөлөт, анткени кол менен оңдолгон профиль кабыктан туташып, иш такта колдонмосунан дагы эле ишке ашпай калышы мүмкүн. Тизмени туташуу файлына [vpn] астында кошуңуз:

data-ciphers=AES-256-CBC

Сервер жарыялаган маанини колдонуңуз, эсиңизде калганын эмес; AES-256-GCM сунуштаган сервер CBC гана атаган кардар тизмеси менен сүйлөшпөйт. Менеджерди кайра иштетип, кайра туташыңыз, анан кабыктан аракетти кайталап, шифрды сүйлөшүү жана камдык үчүн экөөнө тең ачык бериңиз:

sudo openvpn --config client.ovpn --data-ciphers AES-256-CBC --data-ciphers-fallback AES-256-CBC

Эгер ошол команда туннелди көтөрсө, сервер, сертификаттар жана ыйгарым укуктар баары соо, ал эми калган жалгыз кемчилик — менеджердин сакталган параметри. keysize нускамасы тууралуу эскертүү ошол эле тазалоого таандык: ага комментарий коюп, түпнуска файлды профилдин жанында кармаңыз.

Пакет жана плагин кемчиликтери VPN кемчиликтерине окшош

Жаңыртуудан кийинки ар бир ишке ашпоо криптографиялык эмес. Чыгарылыш колдонбогон коддук ат астында кошулган OpenVPN кампасы эч качан орнотулбаган пакет берет, ошондуктан lsb_release -a эмнени билдиргенин кошкон тизме файлы менен салыштырыңыз. Жок universe компоненти же коопсуздук чөнтөгү такыр табылбаган пакет берет. Эки учурда тең профиль тийилбеген, туннел мүмкүн эмес бойдон калат.

VPN журналынан мурун пакет менеджеринин катасын окуңуз. Кардар эч качан орнотулбаган болсо, профилди оңдоонун эч канча өлчөмү кол алышуу бербейт.

Суроону токтоткон эки факторлуу профилдер — ошол окуянын плагин версиясы. Чакырык аутентификация плагининen келет, ал эми аны алып салган же алмаштырган жаңыртуу профилди бүтүн калтырып, суроо жоголот. Туташуу иштеши үчүн экинчи факторду өчүрүүнүн ордуна колдоого алынган плагинди кайра орнотуңуз.

Жеткирүүчүнүн китепканасы саясат катасынын артына жашынышы мүмкүн

Бир үлгү көңүл бурууга татыктуу, анткени ал каалаган саясат оңдоосун жеңет. Аппараттык жабдуу жеткирүүчүсүнүн конфигурация куралы өзүнүн OpenSSL китепканаларын орнотуп, аларды жүктөгүчтүн издөө жолунда системалык көчүрмөлөрдөн мурун коё алат. Ошондо кардар эч ким жаңыртпаган китепканага каршы ишке кирет, ал эми ишке кирүү катасы четке кагылган сертификатка так окшош.

VPN пакетин кайра орнотуу кайсы китепкана биринчи табылаарын өзгөртпөйт, ал эми TLS деңгээлин төмөндөтүү системадан эч качан келбеген китепканага жете албайт. Жүктөгүчтөн программа чындыгында кайсы крипто объектилерин чечерин сураңыз:

ldd /usr/sbin/openvpn | grep -i -E 'ssl|crypto'

Жеткирүүчүнүн көчүрмөсүн алып салыңыз же кайра багыттаңыз, анан ошол эле текшерүүнү кайра жүргүзүңүз. Профилге кайтпас мурун күтүлгөн версия колдонуудагы версия болушу керек.

Эски кардарды бекитүү убакыт сатып алат, чечим эмес

Мурунку кардар версиясын кармоо бекитүү уланганча туннелди калыбына келтирет. Ал ошондой эле ошол пакеттин коопсуздук жаңыртууларын тоңдуруп, кийинки жаңыртууга ушундай эле бузулушту пландайт, ошондуктан аны чечим эмес, күнү бар убактылуу чара деп караңыз.

Эгер баары бир бекитсеңиз, пакетти ачык кармаңыз, көзөмөлсүз жаңыртуу бекитүүнү жокко чыгара албасын, себебин жана кайра кароо күнүн жазыңыз, жана жеткирүүчүнүн кийинки профиль чыгарылышына эскертме коюңуз. Көңүл бурууга татыктуу шарт — учурдагы шифрды сүйлөшкөн сервер профили; ал пайда болгондон кийин бекитүүнүн эч негизи калбайт. Ал эми катталбаган бекитүү жарым жылдан кийин эч ким түшүндүрө албаган тыныгууга айланат, анткени аны колдонгон адам кетип калган, ал эми файл эч нерсе жазбайт.

Кийинки жолу VPN чыгарылышын жаңырткандан кийин өлсө, беш суроону ирети менен бериңиз: кайсы катмар биринчи катаны берди, TLS саясаты сертификатты четке кактыбы, шифр эки багытта тең сүйлөшүлөбү, пакет жана анын плагини чындыгында орнотулдубу, жана процесс кайсы китепкананы жүктөйт. Бешөө тең таза кайтып келгенден кийин гана версияны төмөндөтүүнүн мааниси бар.