Öffentlech VPN-Konfiguratioun funktionéiert net méi? Liest d’Feelerphase

De Profil huet en Dënschdag funktionéiert, an de Freideg dréit de Client drësseg Sekonnen a gëtt op. Op denger Maschinn huet sech näischt geännert. Genau dat ass de Punkt: eng erofgeluede Konfiguratioun beschreift een Host an engem Moment, an den Operateur op der anerer Säit ass net verflicht, déi Beschreiwung wouer ze halen. D’Versuchung ass, Sécherheetsastellungen ze änneren bis den Tunnel erëm eropkënnt. Genau deen Impuls ass de Grond, firwat Leit am Endeffekt e Profil mat ausgeschaltener Zertifikatspréifung lafen, wat schlëmmer ass wéi guer keen Tunnel.

D’Datei beschreift ee Moment, keen Kontrakt

Eng Konfiguratiounsdatei ass eng Rei vu Behauptungen: dësen Hostname lauschtert op dësem Port mat dësem Protokoll, presentéiert en Zertifikat deen zu dësem Numm passt, an akzeptéiert dës Umeldungsdaten. Soubal eng dovun net méi wouer ass, ass d’Datei veraltert an d’Reparatur gehéiert op d’Operateursäit vun der Grenz, net an deng Astellungen.

Öffentlech Knotenlëschten maachen dat vun hirer Natur aus kloer. Knoten ginn vu Fräiwëllegen bedriwwen, si erschéngen a verschwannen, Adressen ginn nei benotzt an d’Porte ginn vum Netzwierk blockéiert, hannert deem si sinn. D’Lëscht ass eng Momentopnam, déi nei generéiert gëtt, an d’Kopie op denger Plack ass e Foto vun enger méi aler Momentopnam.

Kommerziell Servicer änneren sech méi lues, awer net ni. Zertifizéierungsautoritéite wiesselen, en Nolauschterer zitt vun enger gedeelter Adress op eng eegen ëm, en ale Protokoll gëtt ofgeschaft an eng nei Chifferlëscht kënnt. Jiddwereen dovun ass onsiichtbar bis de Client probéiert sech ze verbannen an eng aner Äntwert kritt wéi déi d’Datei erwaart.

Liest d’Feelerphase ier s du eng Astellung ufäss

D’Fehlermeldung seet, wéi eng Behauptung gebrach ass, an all Behauptung huet eng komplett aner Reparatur. Chiffere änneren, wann den Hostname net méi opléist, kascht en Nomëtteg an dierft keen eppes.

dig +short vpn.example.net
curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect}\n' --max-time 8 https://vpn.example.net:443/
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/null

D’Mëttellinn trennt en blockéierte Wee vun engem gebrachene Handschlag, an déi drëtt weist den Aussteller an d’Gültegkeetsdatumen vum Zertifikat, deen tatsächlech presentéiert gëtt. Wann deen Aussteller net deen ass, deen de Profil gepinnt huet, ass den Zertifikat geännert, a keng Optioun op der Clientsäit mécht de ale Pin erëm richteg.

Zertifikats- an Identitéitsännerunge sinn déi stille

Déi meescht Feelere verkënnegen sech selwer. Identitéitsännerungen net, well e Client deen en Zertifikatsnumm pinnt, en ganz gudden neien Zertifikat mat enger Meldung refuséiert, déi vill Leit als Softwarefehler liesen. Den Tunnel ass gutt. De Pin ass veraltert.

Sich d’Identitéitsoptiounen ier s eppes schléiss

grep -nE '^(remote|proto|auth|verify-x509-name|tls-crypt|key-direction|ca) ' profile.ovpn
openssl x509 -in profile-ca.crt -noout -subject -dates

Wann de Profil eng agebaut CA dréit an den Operateur op eng nei Autoritéit gewiesselt ass, kann déi al Datei den neie Server net validéieren. De CA-Block duerch dee vum Operateur publizéierten z’ersetzen ass eng legitim Reparatur. D’Préifungsdirektiv z’erläschen ass et net, an et sinn déiselwecht Tastendréck mat engem ganz aneren Resultat.

En Client-Upgrade kann déiselwecht Symptomer bréngen ouni eng Ännerung beim Operateur. Optiounen, déi stëll toleréiert goufen, gi elo refuséiert, oder en iwwerflëssege Protokoll gëtt erausgeholl. Dat ass eng Kompatibilitéitsgrenz an denger Software, an et lount sech en zweeten Profil mat deem selwechte Client ze probéieren ier s de Server beschëllegs.

Nëmmen den Operateur kann en gültegen Ersatz publizéieren

Wann e Knoten verschwënnt, muss den Ersatz aus därselwechter Quell kommen, déi dat Original publizéiert huet. E Profil, deen an enger Direktnoriicht ukënnt well en «deeselwechten Servernumm benotzt», ass eng onpréift Konfiguratioun vun enger onbekannter Partei, an en z’importéieren gëtt där Partei d’Kontroll iwwer deng Routing.

D’Kontroll ass bëlleg. Hol déi aktuell Datei vun der publizéierter Plaz, vergläich den Endpunkt an de Protokoll mat der Lëscht, a bestäteg de Fangerofdrock vum CA-Material amplaz dem Dateinumm ze vertrauen:

curl -sS -o current.ovpn https://example.org/nodes/current.ovpn
sha256sum current.ovpn profile.ovpn
grep -nE '^(remote|proto) ' current.ovpn

Wann déi zwee Hashen sech nëmmen a Wäissraum ënnerscheeden, hues du eng Formatännerung. Wa se sech an den Endpunkten ënnerscheeden, huet den Operateur eppes geréckelt an déi publizéiert Datei ass d’Autoritéit. Wann déi publizéiert Datei méi al ass wéi deng, kucks du wahrscheinlech an e Cache, an déi veraltert Äntwert schéckt dech an déi falsch Richtung.

Zitt den ale Posten zeréck a schreif op wat geschitt ass

Soubal en funktionéierenden Ersatz verifizéiert ass, läsch de ale Profil amplaz en als Reserve ze halen. En veralterte Posten dee sech hallef verbënnt ass eng Fal: en gëtt bei enger Stéierung ausgewielt, en feelt lues, an déi Persoun déi debuggd verbréngt déi éischt zéng Minutte mat der falscher Datei.

Halt eng kuerz Opzeechnung ausserhalb vun der Konfiguratioun: den Datum, den alen Endpunkt, d’Feelerphase an wat en ersat huet. Öffentlech Knoten wiesselen, a sechs Wochen duerno kënnt déiselwecht Fro mat enger anerer Persoun. Eng Linn an enger Notizdatei beäntwert se a Sekonnen.

Wann aus engem Netzwierk jiddweree Knoten op déi selwecht Manéier feelt an aus engem aneren keen, da kanns du ophalen Profiler z’änneren a kuck de lokale Wee un. En agefaangene Portal, e gefilterte Portberäich oder en ofhierende Proxy bréngen identesch Feeler bei onofhängegen Ubiederen, an genau dee Muster ass dee eenzege Signal datt de Problem ni d’Datei war.