Novecojušas šifrēšanas rindas vecos VPN profilos: izlasiet pirms kopēšanas

Šis profils tika rakstīts 2016 gadā, un to joprojām var importēt un tas joprojām savienojas. Tieši tāpēc neviens tajā neieskatās. Klients, kas kādreiz lasīja šīs direktīvas, jau sen ir pazudis, un pašreizējā versija vairākas no tām var interpretēt citādi.

Tas, ka fails saglabājas, nenozīmē, ka konfigurācija ir aktuāla. Šo divu ideju atdalīšana ir lielākā darba daļa.

Noskaidrojiet, kurš klients rakstīja profilu

Sāciet ar izdevēju un versiju. Direktīvas nozīmi nosaka tās implementācija, kas to lasa. Rinda, kas kādreiz izvēlējās algoritmu, var kļūt par rezerves sarakstu, brīdinājumu vai stingru kļūdu. Tas, kura versija to interpretē, nosaka rezultātu.

OpenVPN ir skaidrākais piemērs. Versija 2.5 ieviesa data-ciphers un mainīja to, kā vecākā cipher direktīva piedalās sarunās. Profils, kurā ir tikai cipher AES-128-CBC, tagad sniedz daudz šaurāku piedāvājumu, nekā bija domājis tā autors.

Izlasiet izlaiduma piezīmes par iestatījumu, kas tagad brīdina vai neizdodas. Brīdinājums žurnālā ir fakts par pašreizējo versiju, un tas sver vairāk nekā jebkura atmiņa par to, kāpēc rinda tika pievienota.

Apskatiet, par ko faktiski vienojās

Veiksmīgs imports pierāda parsēšanu, nevis politiku. Sarunātais rezultāts parādās klienta žurnālā pēc tam, kad savienojums ir izveidots. Tas var atšķirties no abiem konfigurācijas faila galiem.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

Pieņemts imports, kas klusi izmet direktīvu, atstāj profilu, kas tiek lasīts vienādi, bet uzvedas citādi. Tieši šī plaisa izskaidro, kā dokuments, kas apzīmēts kā sacietēts, vienojas par kaut ko vājāku, nekā apgalvo tā paša teksts. Žurnāls ir vienīgā vieta, kur atšķirība parādās. Izlasiet to pirms uzticēšanās failam.

Jauniniet sakārtojumu, nevis rindu

Ņemiet operatora uzturēto profilu, nevis salieciet algoritmu nosaukumus, līdz imports pārstāj sūdzēties. Rindu pievienošana ar mēģinājumiem apgriež labojuma virzienu. Tā pielāgo klientu nezināmam serverim, nevis noskaidro, ko serveris atbalsta.

Serverim var būt nepieciešama arī saskaņota jaunināšana. Pašreizējais klients nevar radīt atbalstu piedāvājumam, ko otra puse nekad nepiedāvā. Neviena klienta puses opcija neaizstāj nejauninātu vārteju.

Tas, no kā nedrīkst atteikties, ir pārbaude. Sertifikātu pārbaužu noņemšana, resursdatora nosaukuma pārbaudes izslēgšana vai atjauninājumu izslēgšana, lai uzturētu vecu profilu dzīvu, pārvērš saderības problēmu uzticēšanās problēmā. Tas parasti notiek pa vienam mazam labojumam.

Apstipriniet rezultātu un pierakstiet izņēmumu

Pēc izmaiņām vēlreiz pārbaudiet sarunāto kopu un pārbaudiet resursu, kuram tunelis pastāv. Profilam, kas vienojas par to, ko vēlējāties, un tomēr nesasniedz pakalpojumu, ir maršrutēšanas vai identitātes problēma. Tam nav kriptogrāfiskas problēmas.

Glabājiet iepriekšējo zināmo labo konfigurāciju aizsargātā vietā. Salīdzināšana ir iespējama tikai tik ilgi, kamēr vecais fails vēl pastāv.

Dokumentējiet jebkuru saderības izņēmumu ar īpašnieku un pārskatīšanas datumu. Pagaidu vienošanās, kam nav īpašnieka, kļūst par pastāvīgu politiku. Nākamais cilvēks, kas lasīs failu, pieņems, ka tas izvēlēts apzināti.