Ачык VPN конфигурациясы иштебей калдыбы? Жеңилүү баскычын окуңуз
Жүктөлгөн профиль бир күндөгү бир хостту сүрөттөйт. Кайсы ырастоо бузулганын окуңуз, каршы тарап сунуштаган сертификатты текшериңиз жана текшерүүнү эч качан өчүрбөңүз.
Профиль шейшембиде иштеген, ал эми жума күнү клиент отуз секунд айланып, баш тартат. Сиздин машинаңызда эч нерсе өзгөргөн жок. Мына ушунда маселе: жүктөлгөн конфигурация бир хостту бир учурда сүрөттөйт, ал эми аркы тараптагы оператор бул сүрөттөмөнү чын бойдон сактоого милдеттүү эмес. Азгыруу — туннель кайра көтөрүлгөнгө чейин коопсуздук жөндөөлөрүн оңдой баштоо. Ушул инстинкт адамдарды сертификат текшерүүсү өчүрүлгөн профилди иштетүүгө алып келет, бул туннелдин такыр жоктугунан да жаман.
Файл учурду сүрөттөйт, келишимди эмес
Конфигурация файлы — ырастоолордун жыйындысы: бул хост аты ушул портто ушул протокол менен угат, ушул атка дал келген сертификатты сунуштайт жана ушул каттоо маалыматтарын кабыл алат. Алардын кайсы бири чын болуудан калса, файл эскирген жана оңдоо чек аранын оператор тарабына таандык, сиздин жөндөөлөрүңүзгө эмес.
Ачык түйүн тизмелери өз табияты боюнча муну айкын көрсөтөт. Түйүндөрдү ыктыярчылар башкарат, алар пайда болуп, жок болуп кетет, даректер кайра пайдаланылат, ал эми порттор алардын артындагы тармак тарабынан тосулат. Тизме — кайра жаралган сүрөт, ал эми сиздин дисктеги көчүрмө эскирээк сүрөттүн фотосу.
Коммерциялык кызматтар жайыраак өзгөрөт, бирок эч качан эмес. Сертификат органдары алмашат, угуучу жалпы даректен өзүнчө дарекке өтөт, эски протокол чыгарылат жана жаңы шифрлер тизмеси келет. Алардын ар бири клиентиңиз туташууга аракет кылып, файл күткөндөн башка жооп алганга чейин көрүнбөйт.
Жөндөөгө тийүүдөн мурун жеңилүү баскычын окуңуз
Ката билдирүүсү кайсы ырастоо бузулганын айтат, ар бир ырастоонун оңдоосу таптакыр башка. Хост аты эми чечилбесе шифрлерди оңдоо бир түштөн кийинки убакытты текке кетирет жана эч кимди эч нерсеге үйрөтпөйт.
| What happens | The assertion that broke | Supported response |
|---|---|---|
| Name never resolves | The host still exists under that name | Get a current endpoint from the operator |
| TCP connect times out | The listener is on that port and reachable | Check the current published port, then the local network |
| TLS or key exchange fails | The peer presents the expected identity | Compare the certificate, not the cipher list |
| Authentication rejected | The account is still valid | Get credentials reissued or stop using the service |
dig +short vpn.example.net
curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect}\n' --max-time 8 https://vpn.example.net:443/
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/nullОртоңку сап тосулган жолду сынган кол алышуудан ажыратат, ал эми үчүнчүсү чындыгында сунушталган сертификаттын чыгаруучусун жана жарактуулук даталарын көрсөтөт. Эгер ал чыгаруучу профиль бекиткен чыгаруучу болбосо, сертификат өзгөргөн, жана клиент тарабындагы эч бир параметр эски бекитүүнү кайра туура кылбайт.
Сертификат жана инсан өзгөрүүлөрү — эң тынч
Көпчүлүк бузулуулар өзүн жарыялайт. Инсан өзгөрүүлөрү андай кылбайт, анткени сертификат атын бекиткен клиент толук жарактуу жаңы сертификатты көпчүлүк программа катасы деп окуган билдирүү менен четке кагат. Туннель жакшы. Бекитүү эскирген.
Бир нерсени чечмелебестен мурун инсан параметрлерин издеңиз:
grep -nE '^(remote|proto|auth|verify-x509-name|tls-crypt|key-direction|ca) ' profile.ovpn
openssl x509 -in profile-ca.crt -noout -subject -datesЭгер профилде орнотулган CA болсо жана оператор жаңы органга өтсө, эски файл жаңы серверди текшере албайт. CA блогун оператор жарыялаган блок менен алмаштыруу — мыйзамдуу оңдоо. Текшерүү директивасын жок кылуу андай эмес, жана бул бирдей баскыч басуулар, бирок натыйжасы таптакыр башка.
Клиентти жаңыртуу оператор тарабынан эч кандай өзгөрүүсүз эле ошол эле симптомду жаратышы мүмкүн. Жашыруун көтөрүлгөн параметрлер эми четке кагылат, же эскирген протокол алынат. Бул сиздин программаңыздагы шайкештик чеги, жана серверди күнөөлөөдөн мурун ошол эле клиентте экинчи профилди сынап көрүү керек.
Жарактуу алмаштырманы оператор гана жарыялай алат
Түйүн жоголгондо, алмаштырма түпнусканы жарыялаган ошол эле булактан келиши керек. «Ошол эле сервер атын колдонот» деп түз билдирүү менен келген профиль — белгисиз тараптын текшерилбеген конфигурациясы, жана аны импорттоо ошол тарапка сиздин маршруттооңузду башкарууну берет.
Текшерүү арзан. Учурдагы файлды жарыяланган жерден алыңыз, акыркы чекитти жана протоколду тизме менен салыштырыңыз, жана файл атына ишенүүнүн ордуна CA материалынын манжа изин ырастаңыз:
curl -sS -o current.ovpn https://example.org/nodes/current.ovpn
sha256sum current.ovpn profile.ovpn
grep -nE '^(remote|proto) ' current.ovpnЭгер эки хеш бир гана боштуктар менен айырмаланса, бул формат өзгөрүүсү. Эгер алар акыркы чекиттер менен айырмаланса, оператор бир нерсени жылдырган жана жарыяланган файл — бийлик. Эгер жарыяланган файл сиздегиден эски болсо, сиз кэшти карап жатасыз, жана эскирген жооп сизди туура эмес багытка жиберет.
Эски жазууну чыгарып, эмне болгонун жазып алыңыз
Иштеген алмаштырма ырасталгандан кийин, эски профилди камдык катары кармабай, жок кылыңыз. Жарым туташкан эски жазуу — капкан: ал тыныгуу учурунда тандалат, жай иштебей калат, жана оңдоп жаткан адам биринчи он мүнөттү туура эмес файлга жумшайт.
Конфигурациядан тышкары кыска жазуу кармаңыз: дата, эски акыркы чекит, жеңилүү баскычы жана аны эмне алмаштырганы. Ачык түйүндөр алмашат, алты жумадан кийин ошол эле суроо башка адам менен келет. Жазуу файлындагы бир сап ага секундаларда жооп берет.
Эгер бир тармактан ар бир түйүн бирдей иштебей калса, ал эми экинчисинен эч кимиси калбаса, профилдерди оңдоону токтотуп, жергиликтүү жолду караңыз. Туткун порталы, чыпкаланган порт диапазону же тосуп алган прокси байланышы жок провайдерлерде бирдей каталарды жаратат, жана ушул эле үлгү маселе эч качан файлда болбогонун көрсөткөн жалгыз белги.