Għaliex OpenVPN waqaf milli jikkonnettja wara aġġornament ta' Ubuntu?

Profili VPN li ħadmu l-ġimgħa li għaddiet jinqasmu wara aġġornament tar-rilaxx ta' Ubuntu, u r-reġistru rari jissemma l-aġġornament. Li jsemmi huwa l-livell li falla: l-handshake TLS, is-sifra nnegozjata għall-kanal tad-dejta, il-pakkett li ġie installat, jew il-kopja tal-OpenSSL li l-binarju jillowdja mal-bidu. Kull livell għandu l-forma tal-iżball u t-tiswija tiegħu, u għalhekk il-klassifikazzjoni hija l-ewwel xogħol u l-editjar it-tieni. Ittratta l-profil bħala innoċenti sakemm ir-reġistru jsemmieh.

Liema livell falla: handshake, sifra, pakkett jew librerija

Aqra r-reġistru tal-klijent qabel ma tmiss il-profil. L-ewwel żball fl-output huwa dak li jidentifika l-livell; kull ma jiġi stampat warajh normalment huwa konsegwenza ta' dak l-ewwel falliment. Meta l-klijent ma jibdiex xejn, ir-reġistru tal-VPN huwa l-fajl ħażin biex tiftaħ.

L-ilmenti dwar ċertifikati u firem, jew messaġġ dwar it-tul tal-muftieħ, ġejjin mill-kanal tal-kontroll u mill-politika tal-librerija li tirregolah. Twissija li tibda b'DEPRECATED OPTION minflok tappartjeni għan-negozjar tal-kanal tad-dejta.

Linja bħal Unrecognized option hija t-tielet kategorija: il-binarju l-ġdid ma għadux jaċċetta direttiva li dak l-antik kien jittollera, u għalhekk il-profil jeħtieġ li jerġa' jinkiteb u mhux il-librerija titbaxxa. Il-fallimenti tal-pakketti jidhru differenti wkoll għax iseħħu qabel ma jitħaddem xi kodiċi tat-tunnel. Binarju nieqes, plugin li ma jillowdjax, jew repożitorju li jindika kodename żbaljat kollha jagħtu dik il-forma. Erba' sintomi, erba' postijiet fejn tħares, u kważi ebda sovrappożizzjoni bejn it-tiswijiet.

Meta l-handshake jonqos, il-politika TLS tirrifjuta ċ-ċertifikat

Ubuntu 22.04 ġab is-sistema għal OpenSSL 3, u l-livell ta' sigurtà awtomatiku f'dik il-fergħa huwa aktar iebes dwar firem taċ-ċertifikati u daqsijiet tal-muftieħ milli kien 20.04. Ċertifikat CA iffirmat b'digest anzjani, jew muftieħ taħt il-limitu attwali, issa jonqos waqt il-handshake. Peress li għadu xejn ma ġie awtentikat, l-iżball jinqara bħala password ħżiena jew server mejjet.

It-tiswija dejqa twaħħal string tas-sifra ma' din il-konnessjoni biss. Fl-editur tad-desktop iftaħ il-profil, mur għall-issettjar avvanzat u poġġi DEFAULT:@SECLEVEL=0 fil-qasam tas-sifra TLS. Il-fajl tal-muftieħ tan-NetworkManager jieħu l-istess valur taħt [vpn]:

[vpn]
tls-cipher=DEFAULT:@SECLEVEL=0

Erġa' ibda n-NetworkManager u erġa' ikkonnettja, għax id-daemon jaħżen il-profili pparsati fil-cache u inkella jibqa' juża l-kopja li diġà għandu. Kun af x'jagħmel il-linja qabel ma żżommha: dak l-issettjar huwa limitu fuq bosta parametri taċ-ċertifikati u l-muftieħ, mhux isem ta' sifra, u għalhekk it-tniżżil tiegħu jwessa' dak li jaċċetta l-profil wieħed. Innota liema server kien jeħtieġha u neħħi l-issettjar meta l-operatur jerġa' joħroġ materjal attwali. Ibdel /etc/ssl/openssl.cnf jilħaq l-istess limitu għal kull programm li jaqra dak il-fajl, li huwa ferm lil hinn mill-VPN.

OpenVPN 2.6 jeħtieġ is-sifra elenkata għan-negozjar

Ubuntu 22.10 ġab OpenVPN 2.6, u f'dak ir-rilaxx --cipher jieqaf jagħżel il-kanal tad-dejta waħdu. Is-sifra trid tkun preżenti wkoll fil-lista data-ciphers nnegozjata, inkella l-klijent jistampa twissija ta' skadenza u mbagħad ma jirnexxilux iqajjem it-tunnel.

Il-plugin tan-NetworkManager mill-istess żmien għadu jikteb biss id-direttiva l-qadima. Dan id-dettall jaqsam id-dijanjosi, għax profil imsewwi bl-idejn jista' jikkonnettja minn shell u xorta jonqos mill-applet tad-desktop. Żid il-lista mal-fajl tal-konnessjoni taħt [vpn]:

data-ciphers=AES-256-CBC

Uża l-valur li jħabbar is-server, mhux dak li tiftakar; server li joffri AES-256-GCM mhux se jinnegozja ma' lista tal-klijent li ssemmi biss CBC. Erġa' ibda l-maniġer u erġa' ikkonnettja, imbagħad erġa' għamel il-prova minn shell bis-sifra mogħtija b'mod espliċitu għan-negozjar u għall-fallback:

sudo openvpn --config client.ovpn --data-ciphers AES-256-CBC --data-ciphers-fallback AES-256-CBC

Jekk dak il-kmand iqajjem it-tunnel, is-server, iċ-ċertifikati u l-kredenzjali kollha tajbin, u l-uniku difett li jibqa' huwa l-għażla maħżuna tal-maniġer. Twissija dwar id-direttiva keysize tappartjeni għall-istess tindif: ikkummentaha u żomm il-fajl oriġinali ħdejn il-profil.

Difetti tal-pakkett u tal-plugin jidhru bħal difetti tal-VPN

Mhux kull falliment wara l-aġġornament huwa kriptografiku. Repożitorju tal-OpenVPN miżjud taħt kodename li r-rilaxx ma jużax jipproduċi pakkett li qatt ma jiġi installat, għalhekk qabbel dak li jirrapporta lsb_release -a mal-fajl tal-lista li żidt. Komponent universe nieqes jew but tal- sigurtà jipproduċu pakkett li ma jinstab xejn. Iż-żewġ każijiet iħallu l-profil intatt u t-tunnel impossibbli.

Aqra l-iżball tal-maniġer tal-pakketti qabel ir-reġistru tal-VPN. Jekk il-klijent qatt ma ġie installat, ebda ammont ta' editjar tal-profil ma jipproduċi handshake.

Profili b'żewġ fatturi li jieqfu jistaqsu huma l-verżjoni tal-plugin tal-istess storja. L-isfida tiġi minn plugin ta' awtentikazzjoni, u aġġornament li neħħieh jew biddlu jħalli l-profil intatt waqt li l-mistoqsija tispiċċa. Erġa' installa l-plugin appoġġjat minflok ma tħassar it-tieni fattur biex il-konnessjoni taħdem.

Librerija tal-fornitur tista' tinħeba wara żball ta' politika

Mudell wieħed jistħoqqlu rikonoxximent għax jegħleb kull tiswija tal-politika. Għodda tal-konfigurazzjoni tal-fornitur tal-ħardwer tista' tinstalla l-libreriji OpenSSL tagħha u tqegħedhom quddiem il-kopji tas-sistema fil-passaġġ tat-tiftix tal-loader. Il-klijent imbagħad jibda kontra librerija li ħadd ma aġġornaha, u l-falliment tal-bidu jidher preċiżament bħaċ-ċertifikat miċħud.

L-installazzjoni mill-ġdid tal-pakkett tal-VPN ma tbiddilx liema librerija tinstab l-ewwel, u t-tniżżil tal-livell TLS ma jistax jilħaq librerija li qatt ma ġiet mis-sistema. Staqsi lill-loader liema oġġetti kriptoċ-ċifrarju l-binarju tassew issolvi:

ldd /usr/sbin/openvpn | grep -i -E 'ssl|crypto'

Neħħi jew erġa' indirizza l-kopja tal-fornitur, imbagħad erġa' għamel l-istess verifika. Il-verżjoni mistennija trid tkun dik li qed tintuża qabel ma terġa' lura għall-profil.

L-iffissar ta' klijent anzjani jixtri l-ħin, mhux soluzzjoni

Iż-żamma tal-verżjoni preċedenti tal-klijent tirrestawra t-tunnel sakemm iddum iż-żamma. Hija wkoll tiffriża l-aġġornamenti tas-sigurtà għal dak il-pakkett u tippjana l-istess tqassim għall-aġġornament li jmiss, għalhekk ittrattah bħala soluzzjoni temporanja bid-data, mhux bħala riżoluzzjoni.

Jekk xorta waħda tiffissah, żomm il-pakkett b'mod espliċitu biex aġġornament mhux sorveljat ma jistax iħassar l-iffissar, ikteb ir-raġuni u d-data għall-ħarsa mill-ġdid, u waqqaf tfakkira għar-rilaxx tal-profil li jmiss tal-fornitur. Il-kundizzjoni li jistħoqqilha attenzjoni hija profil tas-server li jinnegozja sifra attwali; malli jkun hemm, l-iffissar ma jibqax għandu ġustifikazzjoni. Iffissar mhux irreġistrat, min-naħa l-oħra, isir waqfa li ħadd ma jista' jispjega sitt xhur wara, għax il-persuna li applikatu marret u l-fajl ma jirreġistra xejn.

Il-ħin li jmiss li VPN imut wara aġġornament tar-rilaxx, staqsi ħames mistoqsijiet f'ordni: liema livell ipproduċa l-ewwel żball, il-politika TLS ċaħdet iċ-ċertifikat, is-sifra hija negozjabbli fiż-żewġ direzzjonijiet, il-pakkett u l-plugin tiegħu ġew tassew installati, u liema librerija tilledja l-proċess. Biss wara li l-ħamsa kollha jerġgħu lura nodfa tidher raġuni għat-tnaqqis tal-verżjoni.