जुन्या VPN प्रोफाइलमधील अप्रचलित सिफर ओळी: कॉपी करण्यापूर्वी वाचा

हे प्रोफाइल 2016 मध्ये लिहिले गेले, आणि ते अजूनही आयात होते आणि अजूनही जोडले जाते। त्यामुळेच कोणीही त्याकडे पाहत नाही। जो क्लायंट एकेकाळी या सूचना वाचत असे तो खूप आधीच गेला आहे, आणि सध्याची बिल्ड त्यांपैकी अनेकांचा वेगळ्या पद्धतीने अर्थ लावू शकते।

फाइल टिकून राहणे म्हणजे कॉन्फिगरेशन अद्ययावत आहे असे नाही। या दोन कल्पना वेगळ्या करणे हे कामाचा मोठा भाग आहे।

प्रोफाइल कोणत्या क्लायंटने लिहिले ते शोधा

प्रकाशक आणि आवृत्तीपासून सुरुवात करा। सूचनेचा अर्थ ती वाचणारी अंमलबजावणी ठरवते। जी ओळ एकेकाळी अल्गोरिदम निवडत असे ती फॉलबॅक यादी, इशारा किंवा कठोर त्रुटी बनू शकते। कोणती आवृत्ती तिचा अर्थ लावते यावर निकाल ठरतो।

OpenVPN हे सर्वात स्पष्ट उदाहरण आहे। आवृत्ती 2.5 ने data-ciphers सादर केले आणि जुन्या cipher सूचनेचा वाटाघाटीत सहभाग कसा असतो ते बदलले। फक्त cipher AES-128-CBC असलेले प्रोफाइल आता त्याच्या लेखकाने उद्देशलेल्यापेक्षा खूपच संकुचित प्रस्ताव देते।

आता इशारा देणाऱ्या किंवा अयशस्वी होणाऱ्या सेटिंगसाठी प्रकाशन टिपा वाचा। लॉगमधील इशारा सध्याच्या बिल्डबद्दलची वस्तुस्थिती आहे, आणि ओळ का जोडली गेली याबद्दलच्या कोणाच्याही स्मरणापेक्षा तो जास्त वजनदार आहे।

प्रत्यक्षात काय वाटाघाटी झाली ते पहा

यशस्वी आयात पार्सिंग सिद्ध करते, धोरण नाही। कनेक्शन वर आल्यानंतर वाटाघाटी केलेला निकाल क्लायंट लॉगमध्ये दिसतो। तो कॉन्फिगरेशन फाइलच्या दोन्ही टोकांपेक्षा वेगळा असू शकतो।

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

स्वीकारलेली आयात जी शांतपणे सूचना टाकून देते ती अशी प्रोफाइल सोडते जी एका पद्धतीने वाचली जाते आणि दुसऱ्या पद्धतीने वागते। हेच अंतर स्पष्ट करते की कठोर असे लेबल लावलेला दस्तऐवज स्वतःच्या मजकुराच्या दाव्यापेक्षा कमकुवत गोष्टीवर वाटाघाटी का करतो। लॉग हेच एकमेव ठिकाण आहे जिथे फरक दिसतो। फाइलवर विश्वास ठेवण्यापूर्वी तो वाचा।

ओळ नाही, व्यवस्था सुधारा

ऑपरेटरने सांभाळलेले प्रोफाइल घ्या, आयात तक्रार करणे थांबवेपर्यंत अल्गोरिदमची नावे जोडण्याऐवजी। चाचणीने ओळी जोडणे सुधारणेची दिशा उलटते। ते सर्व्हर काय समर्थित करतो हे स्थापित करण्याऐवजी क्लायंटला अज्ञात सर्व्हरशी जुळवते।

सर्व्हरलाही समन्वित अपग्रेड आवश्यक असू शकते। सध्याचा क्लायंट दुसरी बाजू कधीही देऊ न करणाऱ्या प्रस्तावासाठी आधार निर्माण करू शकत नाही। क्लायंट बाजूचा कोणताही पर्याय अद्ययावत न केलेल्या गेटवेची जागा घेऊ शकत नाही।

ज्याचा त्याग करू नये ते म्हणजे पडताळणी। प्रमाणपत्र तपासण्या काढून टाकणे, होस्टनाव तपासणी बंद करणे किंवा जुने प्रोफाइल जिवंत ठेवण्यासाठी अद्ययावत बंद करणे सुसंगततेची समस्या विश्वासाच्या समस्येत बदलते। हे सहसा एका वेळी एक लहान संपादन करून घडते।

निकालाची पुष्टी करा आणि अपवाद नोंदवा

बदलानंतर, वाटाघाटी केलेला संच पुन्हा तपासा आणि टनेल ज्यासाठी आहे त्या संसाधनाची चाचणी करा। जे प्रोफाइल तुम्ही इच्छिले त्याप्रमाणे वाटाघाटी करते आणि तरीही सेवेपर्यंत पोहोचत नाही त्याला मार्गनिर्देशन किंवा ओळखीची समस्या आहे। त्याला गूढलेखनाची समस्या नाही।

पूर्वीचे ज्ञात-चांगले कॉन्फिगरेशन संरक्षित ठिकाणी ठेवा। जुनी फाइल अस्तित्वात असेपर्यंतच तुलना शक्य आहे।

कोणताही सुसंगतता-अपवाद मालक आणि पुनरावलोकन तारखेसह नोंदवा। ज्याचा मालक नाही अशी तात्पुरती व्यवस्था कायमचे धोरण बनते। फाइल वाचणारी पुढील व्यक्ती ती जाणूनबुजून निवडली गेली असे गृहीत धरेल।