Breekt de VPN na een clientupdate? Vergelijk de onderhandeling

Updates vervangen het onderdeel dat uw profiel parseert en de tunnel onderhandelt. De eerste fout na een upgrade is bewijs over een specifieke wijziging, geen vonnis over de release. Die fout bewaren met de versie en de tijdstempel is de meest waardevolle stap die u kunt zetten voordat u iets opnieuw installeert.

Twee mechanismen verklaren de meeste van deze breuken. Ze scheiden is het werk.

Wat de onderhandeling onder u veranderde

OpenVPN onderhandelt over de cipher van het datakanaal in plaats van die uit één richtlijn te halen, en de opties die die onderhandeling sturen hebben hun betekenis tussen releases veranderd. Een profiel dat voor een oudere client is geschreven kan verbinden en daarna geen overeenstemming bereiken over een datakanaal, wat zich uit als een verbreking in plaats van een duidelijke configuratiefout. Nieuwere releases verscherpen of schrappen ook overgeërfd gedrag en leveren een compatibiliteitsmodus voor peers die nog niet zijn overgestapt. Een upgrade kan dus een werkend profiel breken zonder één byte van het bestand aan te raken.

Het effect op de client is asymmetrisch. Het controlekanaal komt op, de authenticatie slaagt en daarna sterft de tunnel, wat het kenmerk is van een onderhandelingsverschil en niet van een geweigerd profiel.

Lees de geïnstalleerde versie voordat u over de server theoriseert. Die tekenreeks is een lokaal feit dat u kunt controleren zonder iemand om toegang te vragen.

Het profiel kan parsen en iets anders betekenen

Een richtlijn die het parsen overleeft is niet noodzakelijk een richtlijn die nog doet wat de auteur bedoelde. Opties kunnen voor compatibiliteit worden geaccepteerd en genegeerd, hernoemd of in een smaller geval dan voorheen worden toegepast. Omdat niets een fout geeft, lijkt het profiel correct terwijl het gedrag eronder is veranderd. Juist die stilte maakt deze regressies duur.

Vraag welke regels werkelijk verantwoordelijk zijn voor het onderhandelde resultaat en leg ze naast de documentatie van de versie die u nu draait. Die vergelijking is kort, en zij is het verschil tussen een correctie en een terugdraaiing.

openvpn --version | head -n 2
openvpn --show-ciphers | head -n 10
grep -nE '^(cipher|data-ciphers|ncp-|tls-)' office.ovpn

Het platform bewoog tegelijk

Clientreleases komen zelden alleen. Een update van het besturingssysteem, een toestemmingsvraag die nu een uitdrukkelijke toestemming vereist, of een beheerd beleid dat op het apparaat wordt toegepast kunnen in dezelfde week landen en een fout veroorzaken waarvan de client de schuld krijgt. Mobiele platforms voegen een eigen laag toe, omdat de app het systeem om een tunnel vraagt en het systeem beslist wat die tunnel mag routeren.

Noteer die wijzigingen apart op de tijdlijn. Wanneer de authenticatie slaagt maar routes of naamresolutie falen, is de interessante fase die na de handshake, en het verzwakken van certificaatvalidatie raakt die niet aan.

Test de gebeurtenis die het rapport begon opnieuw

Reproduceer de oorspronkelijke volgorde in plaats van een vereenvoudigde versie: de eerste verbinding, de toepassing die faalde en een gewone herverbinding na een netwerkwijziging. Een tunnel die onder testomstandigheden opkomt en toch op het pad van de herverbinding valt, is niet gerepareerd, en het verschil markeert meestal waar het echte defect zit. Een rapport dat de stap van de herverbinding weglaat, sluit een fout die nog open is.

Haal het ondersteunde profiel van de operator of de correctie van de leverancier via het geverifieerde kanaal in plaats van alles terug te draaien. Een brede downgrade herstelt ook de beveiligingscorrecties die de update meebracht, en die ruil is zelden één werkende verbinding waard.