VPN lūžta po kliento atnaujinimo? Palyginkite derybas

Atnaujinimai pakeičia komponentą, kuris analizuoja jūsų profilį ir derasi dėl tunelio. Pirmoji nesėkmė po atnaujinimo yra konkrečios pakeitimo įrodymas, o ne nuosprendis leidimui. Tos klaidos išsaugojimas su versija ir laiko žyma yra vertingiausias žingsnis, kurį galite atlikti prieš ką nors perinstaliuodami.

Daugumą šių nutrūkimų paaiškina du mechanizmai. Juos atskirti ir yra darbas.

Ką derybos pakeitė po jumis

OpenVPN derasi dėl duomenų kanalo šifro, o ne ima jį iš vienos direktyvos, o šias derybas valdančių parinkčių reikšmė laikui bėgant keitėsi tarp leidimų. Profilis, parašytas senesniam klientui, gali prisijungti ir paskui nesutarti dėl duomenų kanalo, o tai pasireiškia kaip atsijungimas, o ne aiški konfigūracijos klaida. Naujesni leidimai taip pat griežtina arba atsisako paveldėto elgesio ir pateikia suderinamumo režimą partneriams, kurie dar nepersikėlė. Todėl atnaujinimas gali sugadinti veikiantį profilį net nepaliesdamas nė vieno failo baito.

Poveikis klientui asimetriškas. Valdymo kanalas pakyla, autentifikacija pavyksta, o paskui tunelis miršta, ir tai yra derybų neatitikimo, o ne atmesto profilio požymis.

Perskaitykite įdiegtą versiją prieš teoriuodami apie serverį. Ta eilutė yra vietinis faktas, kurį galite patikrinti nieko neprašydami prieigos.

Profilis gali būti analizuojamas ir reikšti ką kita

Direktyva, kuri išgyvena analizę, nebūtinai yra direktyva, kuri vis dar daro tai, ką jos autorius ketino. Parinktys gali būti priimamos dėl suderinamumo ir ignoruojamos, pervadinamos arba taikomos siauresniu atveju nei anksčiau. Kadangi niekas nepraneša klaidos, profilis atrodo teisingas, nors elgesys po juo pasikeitė. Būtent ta tyla daro šias regresijas brangias.

Paklauskite, kurios eilutės iš tikrųjų atsakingos už suderėtą rezultatą, tada palyginkite jas su versijos, kurią dabar vykdote, dokumentacija. Tas palyginimas trumpas, ir būtent jame yra skirtumas tarp pataisymo ir grąžinimo atgal.

openvpn --version | head -n 2
openvpn --show-ciphers | head -n 10
grep -nE '^(cipher|data-ciphers|ncp-|tls-)' office.ovpn

Platforma pajudėjo tuo pačiu metu

Kliento leidimai retai ateina vieni. Operacinės sistemos atnaujinimas, leidimo užklausa, kuri dabar reikalauja aiškaus sutikimo, ar įrenginiui taikoma valdoma politika gali atkeliauti tą pačią savaitę ir sukelti nesėkmę, dėl kurios kaltinamas klientas. Mobiliosios platformos prideda savo sluoksnį, nes programėlė prašo sistemos tunelio, o sistema nusprendžia, ką tas tunelis gali maršrutizuoti.

Užrašykite tuos pakeitimus atskirai laiko juostoje. Kai autentifikacija pavyksta, bet maršrutai ar vardų sprendimas nepavyksta, įdomus etapas yra po rankos paspaudimo, ir sertifikato tikrinimo silpninimas jo nepalies.

Dar kartą išbandykite įvykį, kuris pradėjo ataskaitą

Atkurkite pradinę seką, o ne supaprastintą jos versiją: pradinį prisijungimą, nepavykusią programą ir įprastą prisijungimą iš naujo po tinklo pakeitimo. Tunelis, kuris pakyla bandymo sąlygomis ir vis tiek krinta prisijungimo iš naujo kelyje, nėra pataisytas, ir skirtumas paprastai parodo, kur slypi tikrasis defektas. Ataskaita, kuri praleidžia prisijungimo iš naujo žingsnį, uždaro klaidą, kuri vis dar atvira.

Gaukite operatoriaus palaikomą profilį arba tiekėjo pataisymą patikrintu kanalu, o ne grąžinkite viską atgal. Platus versijos sumažinimas taip pat atkuria visus saugumo pataisymus, kuriuos atnešė atnaujinimas, ir toks mainai retai verti vieno veikiančio ryšio.