Ar tas OpenVPN saugumo pataisymas iš viso susijęs su jūsų diegimu?

Patarimas pataisyti klientą, kad jis tikrintų sertifikatus, yra per neaiškus, kad pagal jį būtų galima veikti. Jis gali apibūdinti ištaisytą programinės įrangos defektą, vieno tiekėjo seną kūrinį arba profilį, kuris niekada neprašė šios patikros. Tai trys skirtingi pakeitimai su trimis skirtingais savininkais. Veikti pagal tą sakinį nežinant, su kuriuo susiduriate, yra būdas be priežasties pakeisti veikiantį klientą.

Atskirkite tris teiginius

Programinės įrangos defektas turi pranešimą, paveiktas versijas ir ištaisytą leidimą. Tiekėjo kūrinys turi savo platinimo kanalą ir savo atnaujinimo ritmą. Profilio praleidimas neturi nė vieno, nes vykdomasis failas yra tvarkingas, o konfigūracija prašo mažiau, nei manėte. Kol teiginys nepavadina vieno iš šių trijų, nėra ko tikrinti.

Prieš ieškodami užrašykite teiginį vienu sakiniu. Jei sakinys negali pavadinti, kas sugedo, paieška neturi tikslo ir kiekvienas rezultatas atrodo aktualus.

Raskite vykdomąjį failą, kuris tikrai veikia

Prieš žiūrėdami į bet kokią versiją, nustatykite, kas pradeda ryšį. Platinimo tarnyba, darbalaukio papildinys ir tiekėjo programa gali kiekviena naudoti skirtingą vykdomąjį failą ar variklį. Versija, kurią išspausdina bet koks dvejetainis failas, atsitiktinai atsidūręs apvalkalo paieškos kelyje, nėra mašinos inventorius. Skaitykite tą įrenginį ar procesą, kuris tikrai atliko ryšį.

systemctl cat openvpn-client@*.service
ps -o pid,cmd -C openvpn
apt-cache policy openvpn network-manager-openvpn

Paketo užklausa praneša, ką vietiniai metaduomenys laiko įdiegta ir prieinama, o ši talpykla gali būti pasenusi, todėl pirmiausia ją atnaujinkite. Ji taip pat nieko nesako apie tai, ar veikianti tarnyba įkėlė prieš penkias minutes įdiegtą dvejetainį failą. Palyginkite paketo įrašą su procesu, kuris tikrai yra prisijungęs.

Paketo įrodymai vietoj versijos įspūdžių

Distribucijų saugumo priežiūra dažnai perkelia pataisymus atgal, todėl seniau atrodanti upstream versija vis dar gali turėti lopą. Galioja ir atvirkščiai: paketas iš nepažįstamos saugyklos neturi automatinio teiginio į dabartinę priežiūrą. Skaitykite leidimo palaikymo būseną, o ne versijos numerį.

Šis skirtumas yra skirtumas tarp tikros spragos ir skaičiaus, kuris tik atrodo senas. Užrašykite saugyklą, iš kurios atėjo paketas, nes ta pati versijos eilutė gali atkeliauti labai skirtingais kanalais su labai skirtingu palaikymu.

Konfigūracija yra kita pusė

Prižiūrimas vykdomasis failas vis tiek turi profilį, kuris prašo tų patikrų, kurias, jūsų manymu, turite. Pasitikėjimo inkarai, numatytas kitos šalies vaidmuo ir laukiamas serverio pavadinimas yra susiję, bet atskiri sprendimai. Vaidmens patikra nėra pavadinimo patikra, ir nė viena nepakeičia kitos. Jei įspėjimas apie konfigūraciją, pataisymas priklauso tam, kas valdo profilį.

Neįdiekite savavališko lopo, kad kompensuotumėte nepatikrintą profilį, ir nepridėkite direktyvos, kad sutvarkytumėte tikrą įgyvendinimo defektą. Abi klaidos atrodo kaip pažanga, todėl abi ir tęsiasi.

Spręskite pagal įraše esančius įrodymus

Sprendimas kyla iš to, ką nustatėte. Dokumentuotas paveiktas paketas reikalauja palaikomo atnaujinimo, nepalaikoma platforma turi migracijos kelią, o tiekėjo klientas turi to tiekėjo nurodymus. Dviprasmiška instrukcija reikalauja pranešimo ir paveikto komponento, kol kas nors iš to bus pritaikyta.

Laikykite aktyvų klientą, visą versiją, pranešimą ir profilio savininką kartu pakeitimų įraše. Tai stipriau nei nuoroda į vadovėlį, ir to tikrai prireiks kitam žmogui.