Нийтийн VPN тохиргоо ажиллахаа болихлоо? Алдааны үе шатыг уншаарай
Татаж авсан профайл нэг өдрийн нэг хостгыг тодорхойлдог. Аль мэдэгдэл эвдэрснийг уншиж, нөгөө талын үзүүлж буй сертификатыг шалгаж, баталгаажуулалтыг хэзээ ч бүү унтраа.
Профайл мягмар гарагт ажиллаж байсан бөгөөд баасан гарагт клиент гуч секунд эргэлзэж, бууж өгдөг. Таны машин дээр юу ч өөрчлөгдөөгүй. Яг үүнд л асуудал байна: татаж авсан тохиргоо нь нэг хостгыг нэг мөчид тодорхойлдог бөгөөд нөгөө захад байгаа оператор тухайн тодорхойлолтыг үнэн байлгах үүрэггүй. Уруу таталт нь туннель дахин босох хүртэл аюулгүй байдлын тохиргоог засч эхлэх явдал юм. Яг энэ зөн совин нь хүмүүсийг сертификатын баталгаажуулалтыг унтраасан профайл ажиллуулахад хүргэдэг бөгөөд энэ нь туннель огт байхгүйгээс ч дор юм.
Файл нь мөчийг тодорхойлдог, гэрээг биш
Тохиргооны файл нь мэдэгдлүүдийн багц юм: энэ хост нэр энэ порт дээр энэ протоколоор сонсож, энэ нэрэнд тохирох сертификатыг үзүүлж, эдгээр нэвтрэх мэдээллийг хүлээн авдаг. Аль нэг нь үнэн байхаа болиход файл хуучирч, засвар нь хилийн операторын талд хамаарах бөгөөд таны тохиргоонд биш.
Нийтийн вузлуудын жагсаалт өөрийн шинж чанараараа үүнийг тодорхой болгодог. Вузлуудыг сайн дурынхан удирддаг, тэд гарч ирээд алга болдог, хаягууд дахин ашиглагдаж, портууд нь тэдний ард байгаа сүлжээгээр хаагдана. Жагсаалт нь дахин үүсгэгддэг агшин зураг бөгөөд таны диск дээрх хуулбар нь хуучин агшин зургийн гэрэл зураг юм.
Арилжааны үйлчилгээнүүд илүү удаан өөрчлөгддөг, гэхдээ хэзээ ч үгүй гэсэн үг биш. Сертификатын байгууллагууд солигддог, сонсогч нь хуваалцсан хаягаас тусдаа хаяг руу шилждэг, хуучин протокол хасагдаж, шинэ шифрүүдийн жагсаалт ирдэг. Эдгээрийн аль нь ч таны клиент холбогдохыг оролдож, файлын хүлээж байснаас өөр хариулт авах хүртэл үл үзэгдэнэ.
Тохиргоонд хүрэхээс өмнө алдааны үе шатыг уншаарай
Алдааны мэдэгдэл аль мэдэгдэл эвдэрснийг хэлдэг бөгөөд мэдэгдэл бүрд огт өөр засвар бий. Хост нэр дахин шийдэгдэхгүй байхад шифрийг засах нь нэг үдээс хойш цагийг үрэхээс гадна хэнд ч юм заахгүй.
| What happens | The assertion that broke | Supported response |
|---|---|---|
| Name never resolves | The host still exists under that name | Get a current endpoint from the operator |
| TCP connect times out | The listener is on that port and reachable | Check the current published port, then the local network |
| TLS or key exchange fails | The peer presents the expected identity | Compare the certificate, not the cipher list |
| Authentication rejected | The account is still valid | Get credentials reissued or stop using the service |
dig +short vpn.example.net
curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect}\n' --max-time 8 https://vpn.example.net:443/
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/nullДунд мөр нь хаагдсан замыг эвдэрсэн гар барилтаас тусгаарладаг бөгөөд гурав дахь нь бодитоор үзүүлсэн сертификатын олгогч болон хүчинтэй хугацааг харуулна. Хэрэв тэр олгогч профайлын бэхэлсэн олгогч биш бол сертификат өөрчлөгдсөн бөгөөд клиентийн талын ямар ч сонголт хуучин бэхэлгээг дахин зөв болгохгүй.
Сертификат ба хувь хүний өөрчлөлтүүд нь хамгийн чимээгүй нь
Ихэнх алдаа өөрөө зарладаг. Хувь хүний өөрчлөлтүүд тийм биш, учир нь сертификатын нэрийг бэхэлсэн клиент бүрэн хэвийн шинэ сертификатыг олон хүн програм хангамжийн алдаа гэж уншдаг мессежтэйгээр татгалзана. Туннель хэвийн байна. Бэхэлгээ хуучирсан.
Ямар нэг дүгнэлт хийхээс өмнө хувь хүний сонголтуудыг хайгаарай:
grep -nE '^(remote|proto|auth|verify-x509-name|tls-crypt|key-direction|ca) ' profile.ovpn
openssl x509 -in profile-ca.crt -noout -subject -datesПрофайлд шигтгэсэн CA байгаа бөгөөд оператор шинэ байгууллагад шилжсэн бол хуучин файл шинэ серверийг баталгаажуулж чадахгүй. CA блокийг операторын нийтэлсэн блокоор солих нь хууль ёсны засвар. Баталгаажуулалтын зааврыг устгах нь тийм биш бөгөөд эдгээр нь ижил товчлолууд боловч үр дүн нь огт өөр.
Клиентийн шинэчлэлт операторын ямар ч өөрчлөлтгүйгээр ижил шинж тэмдгийг үүсгэж болно. Өмнө нь чимээгүй тэвчиж байсан сонголтууд одоо татгалзагдаж, эсвэл хуучирсан протокол хасагдана. Энэ нь таны програм хангамжийн нийцлийн хязгаар бөгөөд серверийг буруутгахаас өмнө ижил клиентээр хоёр дахь профайлыг туршиж үзэх нь зүйтэй.
Хүчинтэй орлуулагчийг зөвхөн оператор нийтэлж чадна
Вузол алга болоход орлуулагч нь эх хувилбарыг нийтэлсэн ижил эх сурвалжаас ирэх ёстой. «Ижил серверийн нэрийг ашигладаг» гэсэн шалтгаанаар шууд мессежээр ирсэн профайл нь үл мэдэгдэх талын баталгаажаагүй тохиргоо бөгөөд түүнийг импортлох нь тэр талд таны чиглүүлэлтийн хяналтыг өгнө.
Шалгалт хямд. Одоогийн файлыг нийтэлсэн газраас авч, төгсгөлийн цэг болон протоколыг жагсаалттай харьцуулж, файлын нэрэнд итгэхийн оронд CA материалын хурууны хээг баталгаажуулна уу:
curl -sS -o current.ovpn https://example.org/nodes/current.ovpn
sha256sum current.ovpn profile.ovpn
grep -nE '^(remote|proto) ' current.ovpnХэрэв хоёр хэш зөвхөн зайгаар ялгаатай бол энэ нь форматлалтын өөрчлөлт юм. Хэрэв тэд төгсгөлийн цэгээр ялгаатай бол оператор ямар нэг зүйлийг зөөсөн бөгөөд нийтэлсэн файл нь эрх мэдэл юм. Хэрэв нийтэлсэн файл таныхаас хуучин бол та кэш үзэж байгаа байх, хуучирсан хариулт таныг буруу чиглэлд илгээнэ.
Хуучин бичлэгийг хасаж, юу болсныг тэмдэглээрэй
Ажиллаж буй орлуулагч баталгаажсаны дараа хуучин профайлыг нөөц болгон үлдээхийн оронд устгана уу. Хагас холбогддог хуучин бичлэг бол урхи: сааталтын үеэр сонгогдоно, удаан бүтэлгүйтэж, алдаа засварлагч эхний арван минутыг буруу файл дээр өнгөрүүлнэ.
Тохиргооны гадна богино бүртгэл хөтөл: огноо, хуучин төгсгөлийн цэг, алдааны үе шат, түүнийг юу сольсон. Нийтийн вузлууд солигддог бөгөөд зургаан долоо хоногийн дараа ижил асуулт өөр хүнтэй ирдэг. Тэмдэглэлийн файлын нэг мөр секундын дотор түүнд хариулна.
Хэрэв нэг сүлжээнээс вузел бүр ижилхэн бүтэлгүйтэж, нөгөөгөөс нэг ч бүтэлгүйтэхгүй бол профайл засварыг зогсоож, локал зам руу хар. Олзлогдсон портал, шүүсэн портын хүрээ эсвэл таслан сольдог прокси нь хамааралгүй нийлүүлэгчдэд ижил алдаа үүсгэх бөгөөд яг энэ хэв маяг нь асуудал хэзээ ч файл байгаагүйн цорын ганц дохио юм.