Baris sifer usang dalam profil VPN lama: baca sebelum menyalin

Profil ini ditulis pada 2016, dan ia masih diimport dan masih bersambung. Itulah sebabnya tiada siapa yang melihatnya. Klien yang pernah membaca arahan ini sudah lama hilang, dan binaan semasa mungkin mentafsir beberapa daripadanya secara berbeza.

Fail yang kekal bukan bermakna konfigurasi itu terkini. Memisahkan kedua-dua idea itu ialah sebahagian besar kerja.

Ketahui klien mana yang menulis profil

Mulakan dengan penerbit dan versi. Makna sesuatu arahan ditentukan oleh pelaksanaan yang membacanya. Baris yang pernah memilih algoritma boleh menjadi senarai sandaran, amaran atau ralat keras. Keluaran mana yang mentafsirnya menentukan hasilnya.

OpenVPN ialah contoh paling jelas. Versi 2.5 memperkenalkan data-ciphers dan mengubah cara arahan lama cipher menyertai rundingan. Profil yang hanya membawa cipher AES-128-CBC kini membuat cadangan yang jauh lebih sempit daripada yang dimaksudkan penulisnya.

Baca nota keluaran untuk tetapan yang kini memberi amaran atau gagal. Amaran dalam log ialah fakta tentang binaan semasa, dan ia lebih berat daripada ingatan sesiapa tentang mengapa baris itu ditambah.

Lihat apa yang sebenarnya dirundingkan

Import yang berjaya membuktikan penghuraian, bukan dasar. Hasil rundingan muncul dalam log klien selepas sambungan naik. Ia boleh berbeza daripada kedua-dua hujung fail konfigurasi.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

Import yang diterima tetapi membuang arahan secara senyap meninggalkan profil yang dibaca satu cara dan berkelakuan cara lain. Jurang itulah yang menjelaskan bagaimana dokumen berlabel diperkukuh merundingkan sesuatu yang lebih lemah daripada yang didakwa oleh teksnya sendiri. Log ialah satu-satunya tempat perbezaan itu kelihatan. Bacalah sebelum mempercayai fail itu.

Tingkatkan susunan, bukan baris

Ambil profil yang diselenggara oleh pengendali dan bukan memasang nama algoritma sehingga import berhenti merungut. Menambah baris secara cuba-cuba membalikkan arah pembetulan. Ia menyesuaikan klien dengan pelayan yang tidak dikenali dan bukannya menetapkan apa yang disokong pelayan.

Pelayan mungkin juga memerlukan peningkatan yang diselaraskan. Klien semasa tidak boleh mencipta sokongan untuk cadangan yang tidak pernah ditawarkan oleh pihak lain. Tiada pilihan di pihak klien yang menggantikan pintu masuk yang belum dikemas kini.

Yang tidak boleh dikorbankan ialah pengesahan. Membuang semakan sijil, mematikan semakan nama hos atau mematikan kemas kini untuk mengekalkan profil lama hidup mengubah masalah keserasian menjadi masalah kepercayaan. Ia biasanya berlaku satu suntingan kecil pada satu masa.

Sahkan hasilnya dan catat pengecualian

Selepas perubahan, periksa semula set yang dirundingkan dan uji sumber yang menjadi tujuan terowong itu wujud. Profil yang merundingkan apa yang anda maksudkan tetapi masih tidak sampai ke perkhidmatan mempunyai masalah penghalaan atau identiti. Ia tidak mempunyai masalah kriptografi.

Simpan konfigurasi yang diketahui baik sebelum ini di tempat yang dilindungi. Perbandingan hanya mungkin selagi fail lama masih wujud.

Dokumenkan mana-mana pengecualian keserasian dengan pemilik dan tarikh semakan. Penyesuaian sementara yang tiada pemilik menjadi dasar kekal. Orang seterusnya yang membaca fail itu akan menganggapnya dipilih dengan sengaja.