OpenVPN профайлаас key-method устгах нь юу ч өөрчлөхгүй

Олон жил ажилласан профайл гэнэт ажиллахаас татгалзаж, мессеж нь хэн ч нэмсэн гэж санахгүй байгаа зааврын нэрийг дурддаг: key-method. Дараагийн хайлтын үр дүн нийцтэй байдлын үүднээс key-method 2 нэмэхийг зөвлөдөг бөгөөд энэ нь өөр эриний зөвлөгөө юм. Мөрийг татгалзсан задлагч нь одоогийнх бөгөөд түүнд ийм сонголт огт байхгүй. Мөрийг устгаснаар эхлэл засагдах бөгөөд хоёр тал сессийг хэрхэн хамгаалах тал дээр юу ч өөрчлөгдөхгүй.

Профайлд байгаа зүйл ба протоколын бодитоор хийдэг зүйлийн хоорондох энэ зөрүү нь энд авч үзэж буй бүх сэдэв бөгөөд хүмүүсийн зэрэг хийдаг хэд хэдэн өөр өөрчлөлтийг тайлбарладаг. Тэдгээр өөрчлөлт ихэвчлэн нэг багц болж ирдэг шалтгааныг мөн тайлбарладаг.

Шинж тэмдэг нь гар барилтын алдаа биш, задлан шинжилгээний алдаа

Сонголтуудыг ямар ч пакет илгээхээс өмнө уншдаг. Үл мэдэгдэх заавартай профайл тэр шатанд бүтэлгүйтдэг тул процесс сүлжээнд хэзээ ч хүрэхгүй, гар барилтын алдаа ч хэзээ ч үүсгэхгүй. Томьёолол нь ихэвчлэн сонголт болон файлыг нэрлэдэг нь үүнийг шалтгаантай холбоход хамгийн хялбар алдаануудын нэг болгодог. Үүнд пакет, маршрут, галт хана оролцохгүй.

openvpn --config /etc/openvpn/client/office.ovpn --verb 3 --log /tmp/parse.log
grep -n 'Options error' /tmp/parse.log

Хэрэв мессеж зааврыг нэрлэвэл оношлогоо дууссан: файлд энэ бүтээц хүлээж авахгүй зүйл байна. Хэрэв мессеж оронд нь файлын зам нэрлэвэл асуудал нь дутуу include эсвэл түлхүүр бөгөөд энэ нь мөн эхлэлийн үе шатны өөр хэсэг юм.

Клиент эсвэл серверт хуучин протоколын горим хэрэгтэй гэж дүгнэх ёсгүй. Задлан шинжилгээний алдаа нь таны файл ба бинарын хоорондох үгсийн сангийн асуудал бөгөөд энэ тохиолдолд бинар үгсийн сангаасаа нэг үг хаясан төдий.

Заавар ба дамжуулалтын формат хоёр өөр зүйл

Хуучин key-method сонголт нь TLS түлхүүр солилцоог хэрхэн хүрээлэхийг сонгодог байсан бол орчин үеийн солилцоо нь тэр сонголт нэгэн цагт шаарддаг олон пакетт арга юм. Сонголт алга болсон учир нь тэр юу ч сонгохоо больсон; түүний нэрлэсэн формат цорын ганц болсон. Тиймээс мөрийг устгах нь сессийг өмнөхтэй ижил хүрээнд үлдээдэг. Текстийн өөрчлөлт үүнийг аль ч чиглэлд өөрчилж чадахгүй.

Иймээс «2-р аргыг сэргээх» гэж хуучин бинарыг буцааж оруулах нь буруу засвар юм. Энэ нь хуучин өгөгдмөл утгатай хуучин задлагчаас өөр юу ч сэргээхгүй бөгөөд дараа нь ирсэн засваруудыг танаас авдаг. Сертификатын шалгалт эсвэл шифрлэлийн жагсаалтыг сулруулах тал дээр ч холболт буцаж ирнэ гэсэн найдвараар ижил үндэслэл үйлчилнэ.

Хэрэгтэй шалгалт бол хувилбар ба задлан шинжилсэн тохиргоо, файлд үг байгаа эсэх нь биш:

openvpn --version | head -n 1
grep -rn 'key-method' /etc/openvpn/ 2>/dev/null

Юуг, аль файлаас устгах вэ

Ажиллаж буй процесс бодитоор уншдаг файлыг л засаж, зөвхөн түүнийг засаарай. Багцлагдсан системд энэ нь ихэвчлэн unit-ийн нэрлэсэн клиент эсвэл серверийн хавтас дахь профайл бөгөөд лавлагаа болгон гэрийн хавтаст хадгалсан хуулбар биш. Үүсгэсэн профайлыг загвараас дахин бүтээж болох тул зөвхөн байршуулсан хуулбарт хийсэн өөрчлөлт дараагийн provisioning ажиллагааны дараа буцаж ирнэ.

Хуучирсан мөрийг устгаж, төгсгөлийн цэг, сертификат, шифрлэлийн бодлого, удирдлагын сувгийн тохиргоог хөндөхгүй орхино уу. Эдгээр нь процессд хэрэгтэй дэмжигдсэн сонголтууд бөгөөд задлан шинжилгээний алдаатай холбоогүй. Хэрэв ижил профайлд таниагүй өөр заавар байвал процесс эхлэх хүртэл тэдний бүлгийг устгахын оронд тус бүрийг ажиллуулж буй хувилбартай тааруулж шалгаарай.

Дараа нь зорьсон инстанцыг эхлүүлж, түүний эхлэлийн гаралтыг уншина уу. Сонсогч байгаа үед цэвэр эхлэх нь энэ үе шат дууссан гэдгийн баталгаа; дараах клиент туршилт өөр асуултад хариулна.

Татгалзсан профайл ба татгалзсан клиент ижил харагдана

Хоёр алдаа ижил төстэй дэмжлэгийн сэдэв үүсгэдэг бөгөөд өөр нотолгоо шаарддаг. Өөрийн тохиргоог татгалздаг сервер хэзээ ч эхлэхгүй тул ямар ч клиент түүнтэй холбогдож чадахгүй. Сайн эхэлж, нэг клиентийг татгалздаг сервер ажиллаж байгаа бөгөөд логт нь шалтгаан байна: сертификатын асуудал, клиент хүлээж авахгүй түлхэгдсэн сонголт, шифрлэлийн зөрүү.

Устгасан сонголт нь хоёр дахь тохиолдлын оношлогоо биш бөгөөд түүн рүү тэмүүлэх нь тэр нэг цагийг хоёр удаа үрэх юм. Хэрэв клиентийн лог серверийн татгалзлыг харуулбал тэр татгалзлыг уншина уу; хэрэв локал алдаа харуулбал шалгах файл нь клиентийн профайл юм. Одоо байхгүй заавар руу тэмүүлэх нь хоёр мөрдөн шалгалтыг ижил хэмжээгээр хойшлуулна.

Тэр мөр хэзээ ч хариулаагүй нийцлийн асуултууд

Энэ зааврын хамт эргэлддэг профайлууд ихэвчлэн тодорхой платформын тухай түүх агуулдаг бөгөөд түүх нь техникийн шалтгаанаас илүү удаан амьдардаг. Гар утас эсвэл ширээний клиентэд одоо ч бүрэн дэмжигдсэн профайл хэрэгтэй: итгэмжлэгдсэн сертификатын хэлхээ, хоёр төгсгөл хүлээн зөвшөөрдөг өгөгдлийн шифр, хоёр төгсгөл хэрэгжүүлдэг удирдлагын сувгийн горим, клиентийн бүтээц татгалздаггүй заавар. Эдгээрийн аль нь ч хуучин key-method мөр байгаа эсэхээр шийдэгдэхгүй.

Шахах нь ижил хэлбэрийн тусдаа бодлогын асуудал. key-method мөрийг устгах нь таны байршуулалтад шахах заавар дэмжигдэх эсэх, хүлээн зөвшөөрөгдөх эсэх талаар юу ч хэлэхгүй бөгөөд хоёр шийдвэрийг бие даан гаргах ёстой. Ямар нэг зүйл холбогдох хүртэл аюулгүй байдалтай холбоотой хэд хэдэн тохиргоог нэг дор устгах нь ажиллаж байсан профайлыг тайлбарлашгүй профайл болгох зам юм.

Юуг, яагаад устгаснаа товч бичиж хөтөл: сонголт, түүнийг татгалзсан хувилбар, алдааг харуулсан команд. Профайлыг өвлөх дараагийн хүнд яг тэр гурван баримт хэрэгтэй бөгөөд тэдгээрийг одоо бичих нь дараа нь сэргээхээс хямд.