Pasenusios šifravimo eilutės senuose VPN profiliuose: perskaitykite prieš kopijuodami

Šis profilis buvo parašytas 2016 metais, ir jis vis dar importuojamas ir vis dar prisijungia. Būtent todėl niekas į jį nežiūri. Klientas, kuris kadaise skaitė šias direktyvas, seniai dingo, o dabartinė versija kai kurias jų gali interpretuoti kitaip.

Tai, kad failas išlieka, nereiškia, kad konfigūracija yra nauja. Šių dviejų idėjų atskyrimas yra didžioji darbo dalis.

Išsiaiškinkite, kuris klientas parašė profilį

Pradėkite nuo leidėjo ir versijos. Direktyvos reikšmę apibrėžia ją skaitanti realizacija. Eilutė, kuri kadaise rinkdavosi algoritmą, gali tapti atsarginiu sąrašu, įspėjimu arba kieta klaida. Tai, kuri laida ją interpretuoja, lemia rezultatą.

OpenVPN yra aiškiausias pavyzdys. 2.5 versija įvedė data-ciphers ir pakeitė, kaip senesnė cipher direktyva dalyvauja derybose. Profilis, turintis tik cipher AES-128-CBC, dabar pateikia daug siauresnį pasiūlymą, nei ketino jo autorius.

Perskaitykite leidimo pastabas apie nustatymą, kuris dabar įspėja arba nepavyksta. Įspėjimas žurnale yra faktas apie dabartinę versiją, ir jis sveria daugiau nei bet kieno atsiminimas, kodėl eilutė buvo pridėta.

Pažiūrėkite, kas iš tikrųjų buvo suderinta

Sėkmingas importas įrodo analizę, o ne politiką. Suderintas rezultatas atsiranda kliento žurnale po to, kai ryšys pakyla. Jis gali skirtis nuo abiejų konfigūracijos failo galų.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

Priimtas importas, kuris tyliai numeta direktyvą, palieka profilį, kuris skaitomas vienaip, o elgiasi kitaip. Šis atotrūkis paaiškina, kaip dokumentas, pažymėtas kaip sukietintas, derasi dėl kažko silpnesnio, nei teigia jo paties tekstas. Žurnalas yra vienintelė vieta, kur skirtumas matosi. Perskaitykite jį prieš pasitikėdami failu.

Atnaujinkite tvarką, o ne eilutę

Paimkite operatoriaus prižiūrimą profilį, o ne rinkite algoritmų pavadinimus, kol importas nustos skųstis. Eilučių pridėjimas bandymų būdu apverčia pataisos kryptį. Tai pritaiko klientą nežinomam serveriui, o ne nustato, ką serveris palaiko.

Serveriui taip pat gali reikėti suderinto atnaujinimo. Dabartinis klientas negali sukurti palaikymo pasiūlymui, kurio kita pusė niekada nesiūlo. Jokia kliento pusės parinktis nepakeičia neatnaujintų vartų.

Ko negalima paaukoti, tai tikrinimas. Pašalinti sertifikatų patikras, išjungti prieglobsčio vardo patikrą arba išjungti atnaujinimus, kad senas profilis liktų gyvas, paverčia suderinamumo problemą pasitikėjimo problema. Paprastai tai vyksta po vieną mažą pataisą.

Patvirtinkite rezultatą ir užregistruokite išimtį

Po pakeitimo dar kartą patikrinkite suderintą rinkinį ir išbandykite išteklių, kuriam tunelis egzistuoja. Profilis, kuris suderina tai, ko norėjote, ir vis tiek nepasiekia paslaugos, turi maršruto arba tapatybės problemą. Jis neturi kriptografinės problemos.

Laikykite ankstesnę žinomą gerą konfigūraciją apsaugotoje vietoje. Palyginimas įmanomas tik tol, kol senas failas dar egzistuoja.

Dokumentuokite bet kokią suderinamumo išimtį su savininku ir peržiūros data. Laikinas susitarimas, kuris niekam nepriklauso, tampa nuolatine politika. Kitas žmogus, skaitysiantis failą, manys, kad jis buvo pasirinktas sąmoningai.