Застарени шифарски линии во стари VPN профили: прочитајте пред да копирате

Овој профил е напишан во 2016 година и сѐ уште се увезува и сѐ уште се поврзува. Токму затоа никој не го гледа. Клиентот што некогаш ги читал овие директиви одамна го нема, а тековната верзија може некои од нив да ги толкува поинаку.

Тоа што датотеката преживеала не значи дека конфигурацијата е ажурна. Одвојувањето на тие две идеи е најголемиот дел од работата.

Откријте кој клиент го напишал профилот

Започнете со издавачот и верзијата. Значењето на директивата го одредува имплементацијата што ја чита. Линијата што некогаш избирала алгоритам може да стане резервна листа, предупредување или тврда грешка. Кое издание ја толкува одлучува резултатот.

OpenVPN е најјасниот пример. Верзијата 2.5 воведе data-ciphers и го промени начинот на кој постарата директива cipher учествува во преговорите. Профил што носи само cipher AES-128-CBC сега дава многу поузка понуда отколку што имал намера авторот.

Прочитајте ги белешките за изданието за поставката што сега предупредува или не успева. Предупредувањето во дневникот е факт за тековната верзија и е поважно од нечие сеќавање зошто линијата била додадена.

Погледнете што всушност е договорено

Успешниот увоз докажува толкување, не политика. Договорениот резултат се појавува во дневникот на клиентот откако врската ќе се подигне. Тој може да се разликува од двата краја на конфигурациската датотека.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

Прифатениот увоз што тивко исфрла директива остава профил што се чита на еден начин, а се однесува на друг. Токму таа разлика објаснува како документ означен како зацврстен договара нешто послабо отколку што тврди неговиот сопствен текст. Дневникот е единственото место каде разликата се гледа. Прочитајте го пред да и верувате на датотеката.

Надградете го распоредот, не линијата

Земете го профилот што го одржува операторот наместо да составувате имиња на алгоритми додека увозот не престане да се жали. Додавањето линии со проба ја превртува насоката на поправката. Тоа го прилагодува клиентот на непознат сервер наместо да утврди што поддржува серверот.

И на серверот може да му треба координирана надградба. Тековниот клиент не може да создаде поддршка за понуда што другата страна никогаш не ја нуди. Ниту една опција на страната на клиентот не заменува портал што не е ажуриран.

Она што не смее да се жртвува е проверката. Отстранувањето на проверките на сертификати, исклучувањето на проверката на името на домаќинот или исклучувањето на ажурирањата за да остане стар профил жив ја претвора проблемот со компатибилноста во проблем со довербата. Тоа обично се случува со по една мала измена.

Потврдете го резултатот и запишете го исклучокот

По промената, повторно проверете го договорениот сет и тестирајте го ресурсот за кој постои тунелот. Профил што го договара она што сте го намеравале и сепак не стигнува до услугата има проблем со рутирање или идентитет. Тој нема криптографски проблем.

Чувајте ја претходната проверена конфигурација на заштитено место. Споредба е возможна само додека старата датотека сѐ уште постои.

Документирајте го секој исклучок од компатибилноста со сопственик и датум на преглед. Привремено решение без сопственик станува трајна политика. Следниот човек што ќе ја прочита датотеката ќе претпостави дека е избрана намерно.