vpnc-feil med svak kryptering: gateway-policy eller skrivebordsreparasjon?

To reparasjonar verkar like raske når ei gammal vpnc-tilkopling nektar å koma opp: senda det gamle svak-kryptering-flagget, eller leggja inn eit innpakningsskript som legg det til for deg. Dei er ikkje likeverdige, fordi den eine endrar policyen til éin profil og den andre åtferda til kvart program som kallar den vegen. Det første spørsmålet er om gatewayen framleis tilbyr eit svakt framlegg, og det andre er kven som har lov til å godta det. Alt anna følgjer av dei to svara.

To reparasjonar med svært ulik rekkjevidd

Ei endring på profilnivå rører éi tilkopling, éin eigar og éin utløpsdato. Å byta ut den installerte binærfila rører kvar frontend på maskina, inkludert skrivebordsappletten ein kollega brukar for ein heilt annan gatewayprofil. Innpakninga gøymer òg endringa for alle som feilsøkjer verten eit halvt år seinare.

Pakkevurdering er det første offeret: ei fil på /usr/sbin/vpnc som ikkje lenger svarar til pakka si, gjer ei rutinemessig tryggleiksoppdatering til ei etterforsking. Oppgraderingar overskriv då anten innpakninga stille eller nektar å bli brukte, avhengig av korleis pakkehandsamaren behandlar endra filer. Ingen av utfalla viser seg i tilkoplingsloggen, og difor blir innpakningsmetoden verande freistande heilt til den første hendinga. Éi linje i ein profil er langt lettare å finna og fjerna enn ei binærfil som ingen hugsar å ha bytt ut.

Kva den utdaterte brytaren faktisk gjer

vpnc-handboka merkjer enkelt-DES-alternativet som utdatert til fordel for ei innstilling for svak kryptering, og dokumenterer eit eige alternativ som tillèt ingen kryptering av datatrafikk i det heile. Det er ulike innrømmingar med ulike konsekvensar. Ingen av dei får ein moderne gateway til å forhandla om noko han ikkje lenger tilbyr.

Les feilfasen før du vel ein reparasjon. Eit avvist framlegg og eit avvist passord gir liknande frontend-meldingar, men heilt ulike prov.

Kvar eit avgrensa unntak høyrer heime

Viss ein organisasjon medvite godtek ein gammal peer i ein avgrensa periode, høyrer unntaket heime i profilen til den peeren, med ein eigar, ein revisjonsdato og ein migreringsveg til ein støtta protokoll. Å halda det utanfor den globale vegen er heile poenget med å kalla det avgrensa.

Be gateway-eigaren stadfesta kva algoritmar peeren framleis føreslår, og kva som erstattar han. Eit klientflagg kan ikkje reparera eit framlegg serveren ikkje lenger sender, og ein servermigrering ingen har planlagt, vil overleva den mellombelse løysinga. Set revisjonsdatoen i same sak som unntaket, slik at innrømminga går ut i staden for å bli permanent.

Kontroller forhandlinga, ikkje berre det grøne ikonet

Samle prov som identifiserer fasen i staden for stemninga i dialogen. Kommandoane nedanfor er berre lesing, og dei to første viser kva konfigurasjon og versjon som faktisk er i spel.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

Den tredje kommandoen rapporterer filer som ikkje lenger svarar til pakka, og slik melder ei gløymd innpakning seg. Den fjerde viser innrømmingane profilen ber, slik at eit unntak ikkje stille kan spreia seg til ein annan profil via ei kopiert fil. Køyr begge før og etter ei endring, og oppbevar utdataa saman med tilkoplingsprofilen i staden for i eit chatvindauge.

Hald feilsøkingsutdata utanfor saker til nokon har lese det, fordi handboka åtvarar om at det høgste feilsøkingsnivået dumpar autentiseringsdata inkludert passord. Akseptkriteriet er ein autorisert, støtta avtale mellom klient og gateway, ikkje eit menyelement som endeleg blir grønt. Viss peeren berre tilbyr ein øydelagd algoritme, er det ærlege resultatet eit unntak med sluttdato eller ein erstatningsprotokoll, og den avgjerda høyrer til den som eig gatewayen. Å registrera avgjerda er skilnaden mellom eit styrt unntak og ei utilsikta policyendring.