Knekker VPN-en etter en klientoppdatering? Sammenlign forhandlingen

Oppdateringer erstatter komponenten som tolker profilen din og forhandler om tunnelen. Den første feilen etter en oppgradering er bevis om en bestemt endring, ikke en dom over utgivelsen. Å ta vare på den feilen sammen med versjon og tidsstempel er det mest verdifulle steget du kan ta før du installerer noe på nytt.

To mekanismer forklarer de fleste av disse bruddene. Å skille dem er arbeidet.

Hva forhandlingen endret under deg

OpenVPN forhandler om datakanalens chiffer i stedet for å ta den fra én direktiv, og valgene som styrer denne forhandlingen har endret betydning gjennom utgivelsene. En profil skrevet for en eldre klient kan koble til og deretter ikke bli enig om en datakanal, noe som viser seg som en frakobling i stedet for en tydelig konfigurasjonsfeil. Nyere utgivelser strammer også inn eller fjerner gammel atferd, og leverer en kompatibilitetsmodus for parter som ennå ikke har flyttet seg. En oppgradering kan derfor ødelegge en fungerende profil uten å røre én eneste byte i filen.

Virkningen på klienten er asymmetrisk. Kontrollkanalen kommer opp, autentiseringen lykkes, og tunnelen dør etterpå, som er signaturen på uenighet i forhandlingen og ikke på en avvist profil.

Les den installerte versjonen før du teoretiserer om serveren. Den strengen er et lokalt faktum du kan sjekke uten å be noen om tilgang.

Profilen kan tolkes og bety noe annet

En direktiv som overlever tolkingen er ikke nødvendigvis en direktiv som fortsatt gjør det forfatteren mente. Valg kan godtas av hensyn til kompatibilitet og ignoreres, gis nytt navn eller brukes i et snevrere tilfelle enn før. Fordi ingenting gir en feil, ser profilen riktig ut mens atferden under den er endret. Nettopp den stillheten gjør disse regresjonene dyre.

Spør hvilke linjer som faktisk er ansvarlige for det forhandlede resultatet, og hold dem så opp mot dokumentasjonen for versjonen du kjører nå. Den sammenligningen er kort, og den er forskjellen mellom en rettelse og en tilbakerulling.

openvpn --version | head -n 2
openvpn --show-ciphers | head -n 10
grep -nE '^(cipher|data-ciphers|ncp-|tls-)' office.ovpn

Plattformen flyttet seg samtidig

Klientutgivelser kommer sjelden alene. En oppdatering av operativsystemet, en tillatelsesforespørsel som nå krever en uttrykkelig godkjenning, eller en administrert policy brukt på enheten kan lande i samme uke og gi en feil klienten får skylden for. Mobile plattformer legger til sitt eget lag, fordi appen ber systemet om en tunnel og systemet bestemmer hva den tunnelen får rute.

Noter disse endringene separat i tidslinjen. Når autentiseringen lykkes men ruter eller navneoppslag feiler, er det interessante trinnet etter håndtrykket, og en svekket sertifikatvalidering vil ikke berøre det.

Test hendelsen som startet rapporten på nytt

Gjengi den opprinnelige sekvensen i stedet for en forenklet versjon: den første tilkoblingen, programmet som feilet, og en vanlig gjenoppkobling etter et nettverksbytte. En tunnel som kommer opp under testforhold og likevel faller på gjenoppkoblingsveien, er ikke rettet, og forskjellen markerer vanligvis hvor den egentlige feilen ligger. En rapport som utelater gjenoppkoblingstrinnet, lukker en feil som fortsatt er åpen.

Skaff operatørens støttede profil eller leverandørens rettelse gjennom den verifiserte kanalen i stedet for å rulle alt tilbake. En bred nedgradering gjenoppretter også sikkerhetsrettelsene oppdateringen brakte, og den byttehandelen er sjelden én fungerende tilkobling verdt.