Utdaterte krypteringslinjer i gamle VPN-profil: les før du kopierer

Denne profilen vart skriven i 2016, og han blir framleis importert og han koplar framleis til. Det er nettopp difor ingen ser på han. Klienten som ein gong las desse direktiva, er for lengst borte, og den noverande versjonen kan tolke fleire av dei annleis.

At ei fil overlever tyder ikkje at ein konfigurasjon er oppdatert. Å skilje dei to ideane er det meste av arbeidet.

Finn ut kva klient som skreiv profilen

Byrja med utgjevaren og versjonen. Tydinga av eit direktiv blir definert av implementasjonen som les det. Ei linje som ein gong valde ein algoritme, kan bli ei reserveliste, ei åtvaring eller ein hard feil. Kva utgåve som tolkar henne, avgjer resultatet.

OpenVPN er det tydlegaste dømet. Versjon 2.5 innførte data-ciphers og endra korleis det eldre direktivet cipher deltek i forhandlingane. Ein profil som berre inneheld cipher AES-128-CBC, gir no eit mykje snevrare tilbod enn forfattaren hadde tenkt.

Les utgåvenotata for innstillinga som no varslar eller feilar. Ei åtvaring i loggen er eit faktum om gjeldande versjon, og det veg tyngre enn nokon sitt minne om kvifor linja vart lagd til.

Sjå på kva som faktisk vart forhandla

Ein vellukka import beviser parsing, ikkje policy. Det forhandla resultatet viser seg i klientloggen etter at sambandet er oppe. Det kan avvike frå begge endar av konfigurasjonsfila.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

Ein godteken import som stille droppar eit direktiv, lèt etter seg ein profil som blir lesen på éin måte og oppfører seg på ein annan. Det gapet er korleis eit dokument merkt som herda forhandlar fram noko svakare enn sin eigen tekst hevdar. Loggen er den einaste staden skilnaden viser seg. Les han før du stolar på fila.

Oppgrader ordninga, ikkje linja

Skaff profilen operatøren vedlikeheld i staden for å setje saman algoritmenamn til importen sluttar å klage. Å leggje til linjer ved prøving snur retninga av rettinga. Det tilpassar klienten til ein ukjend server i staden for å fastslå kva serveren støttar.

Serveren kan også trengje den koordinerte oppgraderinga. Ein gjeldande klient kan ikkje skape støtte for eit tilbod motparten aldri gir. Ingen klientinnstilling erstattar ein gateway som ikkje er oppdatert.

Det som ikkje må ofrast, er verifisering. Å fjerne sertifikatkontrollar, slå av vertsnamnkontrollen eller slå av oppdateringar for å halde ein gammal profil i live gjer eit kompatibilitetsproblem til eit tillitsproblem. Det skjer vanlegvis med éi lita endring om gongen.

Stadfest resultatet og registrer unntaket

Etter endringa, undersøk det forhandla settet på nytt og test ressursen tunnelen finst for. Ein profil som forhandlar det du hadde tenkt, og framleis ikkje når tenesta, har eit ruting- eller identitetsproblem. Han har ikkje eit kryptografisk problem.

Oppbevar den førre kjende gode konfigurasjonen på ein verna stad. Ei samanlikning er berre mogleg så lenge den gamle fila framleis finst.

Dokumenter eitkvart kompatibilitetsunntak med ein eigar og ein gjennomgangsdato. Ei mellombels ordning utan eigar blir permanent policy. Den neste som les fila, vil anta at ho vart vald med vilje.