Firwat huet OpenVPN opgehalen sech ze verbannen no engem Ubuntu-Upgrade?

VPN-Profiler, déi d'lescht Woch nach funktionnéiert hunn, briechen no engem Ubuntu-Release-Upgrade, an de Log ernimmt den Upgrade bal ni. Wat en nennt, ass d'Schicht, déi versot huet: den TLS-Handshake, de Cipher, dee fir den Datenkanal verhandelt gouf, de Pak, deen installéiert gouf, oder d'Kopie vun OpenSSL, déi de Binär beim Start lued. All Schicht huet hir eege Fehlerform an hir eege Reparatur, dofir ass d'Klassifikatioun déi éischt Aarbecht an d'Änneren déi zweet. Behandelt de Profil als onschëlleg, bis de Log en nennt.

Wéi eng Schicht ass versot: Handshake, Cipher, Pak oder Bibliothéik

Liest de Client-Log, ier Dir de Profil beréiert. Den éischte Fehler an der Ausgab ass deen, deen d'Schicht identifizéiert; alles, wat duerno gedréckt gëtt, ass meeschtens d'Folleg vun där éischter Feelung. Wann de Client guer net start, ass de VPN-Log déi falsch Datei fir opzemaachen.

Beschwéieren iwwer Zertifikater an Ënnerschrëften, oder eng Noriicht iwwer d'Schlëssellängt, kommen aus dem Kontrollkanal an der Bibliothéikspolitik, déi en regléiert. Eng Warnung, déi mat DEPRECATED OPTION ufänkt, gehéiert dogéint zu der Verhandlung vum Datenkanal.

Eng Zeil wéi Unrecognized option ass eng drëtt Kategorie: de neie Binär akzeptéiert keng Direktiv méi, déi den ale toleréiert huet, also muss de Profil ëmgeschriwwe ginn an net d'Bibliothéik geluewert. Pakfeeler gesinn nach eng Kéier anescht aus, well se geschéien, ier iergendeen Tunnelcode leeft. E fehlende Binär, e Plugin, deen net lued, oder e Repository, dat op de falschen Codnumm weist, ginn all déi Form. Véier Symptomer, véier Plazen ze kucken, an bal keng Iwwerlappung tëscht de Reparaturen.

Wann den Handshake feelt, verwierft d'TLS-Politik d'Zertifikat

Ubuntu 22.04 huet d'System op OpenSSL 3 ëmgestallt, an de Standard-Sécherheetsniveau an där Branche ass méi streng mat Zertifikatsënnerschrëften a Schlësselgréissten wéi 20.04 war. En CA-Zertifikat, dat mat engem eelere Digest ënnerschriwwen ass, oder e Schlëssel ënner dem aktuellen Niveau, feelt elo während dem Handshake. Well nach näischt authentifizéiert ass, liest sech de Fehler wéi e falscht Passwuert oder en doudege Server.

Déi schmuel Reparatur befestegt eng Cipher-Zeechenketten just un dës Verbindung. Am Desktop-Editor öffnet de Profil, gitt op déi erweidert Astellungen a setzt DEFAULT:@SECLEVEL=0 an d'TLS-Cipher-Feld. D'NetworkManager-Schlësseldatei hëlt dee selwechte Wäert ënner [vpn]:

[vpn]
tls-cipher=DEFAULT:@SECLEVEL=0

Startet NetworkManager nei a verbënnt Iech erëm, well den Daemon geparste Profiler cachet an soss d'Kopie weiderbenotzt, déi en schonn huet. Wësst, wat d'Zeil mécht, ier Dir se behält: dës Astellung ass en Niveau iwwer méi Zertifikats- a Schlësselparametere, keen Cipher-Numm, dofir erweidert hir Senkung, wat deen eenzege Profil akzeptéiert. Nottéiert, wéi e Server se verlaangt huet, a loosst d'Astellung fale, wann den Operateur aktuellt Material nei ausgëtt. /etc/ssl/openssl.cnf z'änneren erreecht dee selwechten Niveau fir all Programm, dat déi Datei liest, wat wäit iwwer de VPN erausgeet.

OpenVPN 2.6 verlaangt de Cipher an der Verhandlung

Ubuntu 22.10 huet OpenVPN 2.6 bruecht, an an där Versioun hält --cipher op, den Datenkanal eleng ze wielen. De Cipher muss och an der verhandelter data-ciphers Lëscht stoen, soss dréckt de Client eng Veralterungswarnung an et fällt him duerno net, den Tunnel opzekréien.

D'NetworkManager-Plugin aus där Zäit huet nach ëmmer nëmmen déi al Direktiv geschriwwen. Dëse Detail deelt d'Diagnos, well e Profil, deen ënner der Hand verbessert gouf, aus enger Shell ka verbannen an aus dem Desktop-Applet weider feele kann. Füügt d'Lëscht an d'Verbindungsdatei ënner [vpn] bäi:

data-ciphers=AES-256-CBC

Benotzt de Wäert, deen de Server annoncéiert, net deen, un deen Dir Iech erënnert; e Server, deen AES-256-GCM ubitt, verhandelt net mat enger Clientlëscht, déi nëmmen CBC nennt. Start de Manager nei a verbënnt Iech erëm, widderhëlt dann de Versuch aus enger Shell mam Cipher, dee kloer fir Verhandlung a Fallback uginn ass:

sudo openvpn --config client.ovpn --data-ciphers AES-256-CBC --data-ciphers-fallback AES-256-CBC

Wann dee Kommando den Tunnel opkréit, sinn de Server, d'Zertifikater an d'Authentifikatiounsdaten all gesond, an deen eenzege Reschtfehler ass déi gespäichert Optioun vum Manager. Eng Warnung iwwer d'Direktiv keysize gehéiert zu der selwechter Botzen: kommentéiert se aus a behält d'Originaldatei niewent dem Profil.

Pak- a Pluginfeeler gesinn aus wéi VPN-Feeler

Net all Feelung nom Upgrade ass kryptografesch. En OpenVPN-Repository, deen ënner engem Codnumm bäigefüügt gouf, deen de Release net benotzt, gëtt e Pak, deen ni installéiert gëtt, also vergläicht, wat lsb_release -a mellt, mat der Lëschtdatei, déi Dir bäigefüügt hutt. Eng fehlend universe Komponent oder eng Sécherheetstasche gëtt e Pak, deen ee guer net fënnt. Béid Fäll loossen de Profil onberéiert an den Tunnel onméiglech.

Liest de Fehler vum Pakmanager virum VPN-Log. Wann de Client ni installéiert gouf, gëtt keng Profilännerung en Handshake.

Zwee-Faktor-Profiler, déi ophalen ze froen, sinn d'Plugin-Versioun vun der selwechter Geschicht. D'Challenge kënnt vun engem Authentifikatiouns-Plugin, an en Upgrade, deen et ewechgeholl oder ersat huet, léisst de Profil intakt, während d'Ufro verschwënnt. Installéiert déi ënnerstëtzte Plugin nei, amplaz den zweete Faktor ze läschen, fir datt d'Verbindung funktionéiert.

Eng Fournisseur-Bibliothéik ka sech hannert engem Politikfehler verstoppen

Ee Muster verdéngt Unerkennung, well et all Politikreparatur iwwerwënnt. E Konfiguratiounsgeschir vun engem Hardware-Fournisseur ka seng eege OpenSSL-Bibliothéiken installéieren an se am Sichwee vum Loader virun d'Systemkopien setzen. De Client start dann géint eng Bibliothéik, déi kee moderniséiert huet, an de Startfehler gesäit genee aus wéi en ofgeleente Zertifikat.

D'VPN-Pak nei installéieren ännert net, wéi eng Bibliothéik als éischt fonnt gëtt, an den TLS-Niveau ze senken erreecht keng Bibliothéik, déi ni vum System komm ass. Frot de Loader, wéi eng Kryptoobjete de Binär tatsächlech opléist:

ldd /usr/sbin/openvpn | grep -i -E 'ssl|crypto'

Entfernt oder riicht d'Kopie vum Fournisseur nei, a fuert dann déiselwecht Kontroll nach eng Kéier. Déi erwaart Versioun muss déi sinn, déi a Gebrauch ass, ier Dir zréck op de Profil gitt.

En eelere Client festzehalen kaaft Zäit, keng Léisung

Déi vireg Clientversioun ze halen hëlt den Tunnel zréck, soulaang d'Hale dauert. Et fréiert och d'Sécherheetsupdates fir dee Pak an a plangt déiselwecht Broch fir den nächsten Upgrade an, also behandelt et als datéierte provisoresche Wee, net als Léisung.

Wann Dir en awer festhält, hält de Pak explizit, sou datt en oniwwerwaachten Upgrade d'Festhalen net ophiewe kann, schreift de Grond an den Datum fir d'Iwwerpréiwung op, a setzt eng Erënnerung fir déi nächst Profilverëffentlechung vum Fournisseur. D'Konditioun, déi et wäert ass opzepassen, ass e Serverprofil, deen en aktuelle Cipher verhandelt; soubal deen do ass, huet d'Festhalen keng Begrënnung méi. En onopfgezeechent Festhalen dogéint gëtt eng Ënnerbriechung, déi ee sechs Méint méi spéit net ka erklären, well déi Persoun, déi et ugewannt huet, weidergezunn ass an d'Datei näischt festhält.

D'nächst Kéier, wann e VPN nom Release-Upgrade stierft, stellt fënnef Froen an der Rei: wéi eng Schicht huet den éischte Fehler gemaach, huet d'TLS-Politik d'Zertifikat verworf, ass de Cipher a béide Richtunge verhandelbar, goufen de Pak an säi Plugin wierklech installéiert, a wéi eng Bibliothéik lued de Prozess. Eréischt wann all fënnef propper zréckkommen, mécht en Downgrade Sënn.