Adakah pembaikan keselamatan OpenVPN itu benar-benar tentang pemasangan anda?

Nasihat untuk menampal klien supaya ia mengesahkan sijil terlalu kabur untuk ditindaklanjuti. Ia boleh menerangkan kecacatan perisian yang telah diperbaiki, binaan lama daripada satu pembekal, atau profil yang tidak pernah meminta pemeriksaan itu. Itu tiga perubahan berbeza dengan tiga pemilik berbeza. Bertindak atas ayat itu tanpa tahu yang mana satu anda hadapi ialah cara klien yang berfungsi diubah tanpa sebab.

Asingkan ketiga-tiga dakwaan

Kecacatan perisian mempunyai notis, versi terjejas dan keluaran yang diperbaiki. Binaan pembekal mempunyai saluran pengedarannya sendiri dan rentak kemas kininya sendiri. Ketinggalan profil tidak mempunyai kedua-duanya, kerana fail boleh laku itu elok dan konfigurasi meminta lebih sedikit daripada yang anda anggap. Sehingga dakwaan itu menamakan salah satu daripada tiga, tiada apa untuk diuji.

Tulis dakwaan itu dalam satu ayat sebelum anda mencarinya. Jika ayat itu tidak dapat menamakan apa yang rosak, carian tiada sasaran dan setiap hasil kelihatan relevan.

Cari fail boleh laku yang benar-benar berjalan

Kenal pasti apa yang memulakan sambungan sebelum anda melihat mana-mana versi. Perkhidmatan pengedaran, pemalam desktop dan aplikasi vendor masing-masing boleh menggunakan fail boleh laku atau enjin yang berbeza. Versi yang dicetak oleh mana-mana binari yang kebetulan berada dalam laluan carian shell bukanlah inventori mesin. Baca unit atau proses yang benar-benar melakukan sambungan itu.

systemctl cat openvpn-client@*.service
ps -o pid,cmd -C openvpn
apt-cache policy openvpn network-manager-openvpn

Pertanyaan pakej melaporkan apa yang metadata setempat percaya terpasang dan tersedia, dan cache itu mungkin basi, jadi segarkan dahulu. Ia juga tidak menyatakan apa-apa tentang sama ada perkhidmatan yang berjalan memuatkan binari yang dipasang lima minit lalu. Bandingkan rekod pakej dengan proses yang benar-benar bersambung.

Bukti pakej bukan tanggapan versi

Penyelenggaraan keselamatan pengedaran sering membawa pembaikan ke belakang, jadi versi upstream yang kelihatan lebih lama masih boleh mengandungi tampalan itu. Berlaku juga sebaliknya: pakej daripada repositori yang tidak dikenali tidak membawa tuntutan automatik terhadap penyelenggaraan semasa. Baca status sokongan keluaran itu, bukan nombor versi.

Perbezaan itu ialah perbezaan antara jurang sebenar dan nombor yang hanya kelihatan lama. Catat repositori asal pakej itu, kerana rentetan versi yang sama boleh tiba melalui saluran yang sangat berbeza dengan sokongan yang sangat berbeza.

Konfigurasi ialah separuh lagi

Fail boleh laku yang diselenggara masih memerlukan profil yang meminta pemeriksaan yang anda percaya ada. Sauh kepercayaan, peranan yang dimaksudkan pihak lain dan nama pelayan yang dijangka ialah keputusan berkaitan tetapi berasingan. Pemeriksaan peranan bukan pemeriksaan nama, dan kedua-duanya tidak saling menggantikan. Jika amaran itu tentang konfigurasi, pembaikannya milik sesiapa yang memiliki profil itu.

Jangan pasang tampalan sewenang-wenangnya untuk mengimbangi profil yang belum disahkan, dan jangan tambah direktif untuk membaiki kecacatan pelaksanaan yang sebenar. Kedua-dua kesilapan terasa seperti kemajuan, itulah sebabnya kedua-duanya terus berlaku.

Putuskan dengan bukti dalam rekod

Keputusan mengikut apa yang telah anda tetapkan. Pakej terjejas yang didokumenkan menuntut kemas kininya yang disokong, platform yang tidak disokong memerlukan laluan migrasi, dan klien pembekal memerlukan panduan pembekal itu. Arahan yang samar memerlukan notis dan komponen terjejas sebelum mana-mana daripada itu terpakai.

Simpan klien aktif, versi penuh, notis dan pemilik profil bersama-sama dalam rekod perubahan. Itu lebih kukuh daripada rujukan tutorial, dan itulah yang benar-benar diperlukan oleh orang seterusnya.