Грешка за слаб шифар во vpnc: политика на порта или поправка на работната површина?

Две поправки изгледаат еднакво брзи кога стара vpnc врска одбива да се крене: предавање на старото знаме за слаб шифар или вметнување скрипта-обвивка што го додава наместо вас. Тие не се еквивалентни, бидејќи едната ја менува политиката на еден профил, а другата однесувањето на секоја програма што го повикува тој пат. Првото прашање е дали портата сѐ уште нуди слаб предлог, а второто е кој смее да го прифати. Сѐ друго произлегува од тие два одговора.

Две поправки со многу различен опфат

Промената на ниво на профил допира една врска, еден сопственик и еден датум на истекување. Замената на инсталираната бинарна датотека допира секој фронтенд на машината, вклучително и аплетот на работната површина што колега го користи за сосема друг профил на порта. Обвивката исто така ја крие промената од секој што ќе го дебагира домаќинот шест месеци подоцна.

Проверката на пакетот е првата жртва: датотека во /usr/sbin/vpnc што веќе не одговара на својот пакет претвора рутинско безбедносно ажурирање во истрага. Потоа ажурирањата или тивко ја препишуваат обвивката или одбиваат да се применат, зависно од тоа како менаџерот на пакети се однесува кон изменетите датотеки. Ниту еден од исходите не се појавува во дневникот на врската, затоа пристапот со обвивка останува привлечен до првиот инцидент. Еден ред во профил е далеку полесно да се најде и отстрани отколку бинарна датотека за чија замена никој не се сеќава.

Што всушност прави застарениот прекинувач

Прирачникот на vpnc ја означува опцијата за единечен DES како застарена во корист на поставка за слабо шифрирање и документира посебна опција што дозволува воопшто без шифрирање на податочниот сообраќај. Тоа се различни отстапки со различни последици. Ниту една од нив не тера современа порта да преговара за нешто што веќе не го нуди.

Прочитајте ја фазата на неуспех пред да изберете поправка. Одбиен предлог и одбиена лозинка даваат слични пораки на фронтендот, но сосема различни докази.

Каде припаѓа ограничениот исклучок

Ако организацијата свесно прифаќа стар партнер за ограничен период, исклучокот припаѓа во профилот на тој партнер, со сопственик, датум на преглед и пат за миграција кон поддржан протокол. Неговото држење надвор од глобалниот пат е целиот смисол на нарекувањето ограничен.

Побарајте од сопственикот на портата да потврди кои алгоритми партнерот сѐ уште ги предлага и што го заменува. Клиентско знаме не може да поправи предлог што серверот веќе не го праќа, а миграција на серверот што никој не ја закажал ќе го надживее привременото решение. Ставете го датумот на преглед во истиот тикет како исклучокот, за отстапката да истече наместо да стане постојана.

Проверете ги преговорите, не само зелената икона

Соберете докази што ја идентификуваат фазата, а не расположението на дијалогот. Командите подолу се само за читање, а првите две покажуваат која конфигурација и верзија навистина се во игра.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

Третата команда пријавува датотеки што веќе не одговараат на пакетот, и така заборавената обвивка се објавува сама. Четвртата ги покажува отстапките што ги носи профилот, за исклучокот да не може тивко да се прошири на втор профил преку копирана датотека. Извршете ги двете пред и по промена, и чувајте го излезот со профилот на врската, а не во прозорец за разговор.

Држете го излезот за дебагирање надвор од тикетите додека некој не го прочита, бидејќи прирачникот предупредува дека највисокото ниво на дебагирање исфрла автентикациски податоци, вклучително лозинки. Критериумот за прифаќање е овластен, поддржан договор меѓу клиентот и портата, а не ставка од мени што конечно станува зелена. Ако партнерот нуди само расипан алгоритам, чесниот исход е исклучок со краен датум или заменски протокол, и таа одлука му припаѓа на тој што ја поседува портата. Запишувањето на одлуката е разликата меѓу управуван исклучок и случајна промена на политиката.