ਜਨਤਕ VPN ਕੌਂਫਿਗ ਨੇ ਕੰਮ ਕਰਨਾ ਬੰਦ ਕਰ ਦਿੱਤਾ? ਅਸਫਲਤਾ ਦਾ ਪੜਾਅ ਪੜ੍ਹੋ
ਡਾਊਨਲੋਡ ਕੀਤੀ ਪ੍ਰੋਫਾਈਲ ਇੱਕ ਦਿਨ ਵਿੱਚ ਇੱਕ ਹੋਸਟ ਦਾ ਵਰਣਨ ਕਰਦੀ ਹੈ। ਪੜ੍ਹੋ ਕਿਹੜਾ ਦਾਅਵਾ ਟੁੱਟਿਆ, ਸਾਹਮਣੇ ਧਿਰ ਵੱਲੋਂ ਪੇਸ਼ ਕੀਤਾ ਸਰਟੀਫਿਕੇਟ ਜਾਂਚੋ, ਅਤੇ ਤਸਦੀਕ ਕਦੇ ਬੰਦ ਨਾ ਕਰੋ।
ਪ੍ਰੋਫਾਈਲ ਮੰਗਲਵਾਰ ਕੰਮ ਕਰ ਰਹੀ ਸੀ, ਅਤੇ ਸ਼ੁੱਕਰਵਾਰ ਕਲਾਇੰਟ ਤੀਹ ਸਕਿੰਟ ਘੁੰਮਦਾ ਹੈ ਅਤੇ ਹਾਰ ਮੰਨ ਲੈਂਦਾ ਹੈ। ਤੁਹਾਡੀ ਮਸ਼ੀਨ ਤੇ ਕੁਝ ਨਹੀਂ ਬਦਲਿਆ। ਇਹੀ ਮੁੱਖ ਗੱਲ ਹੈ: ਡਾਊਨਲੋਡ ਕੀਤੀ ਕੌਂਫਿਗਰੇਸ਼ਨ ਇੱਕ ਪਲ ਵਿੱਚ ਇੱਕ ਹੋਸਟ ਦਾ ਵਰਣਨ ਕਰਦੀ ਹੈ, ਅਤੇ ਦੂਜੇ ਪਾਸੇ ਦੇ ਆਪਰੇਟਰ ਤੇ ਉਸ ਵਰਣਨ ਨੂੰ ਸੱਚਾ ਰੱਖਣ ਦੀ ਕੋਈ ਜ਼ਿੰਮੇਵਾਰੀ ਨਹੀਂ ਹੈ। ਲਾਲਚ ਇਹ ਹੈ ਕਿ ਸੁਰੱਖਿਆ ਸੈਟਿੰਗਾਂ ਬਦਲਣੀਆਂ ਸ਼ੁਰੂ ਕਰ ਦਿੱਤੀਆਂ ਜਾਣ ਜਦ ਤੱਕ ਟਨਲ ਦੁਬਾਰਾ ਉੱਪਰ ਨਾ ਆ ਜਾਵੇ। ਇਹੀ ਪ੍ਰਵਿਰਤੀ ਲੋਕਾਂ ਨੂੰ ਸਰਟੀਫਿਕੇਟ ਤਸਦੀਕ ਬੰਦ ਕੀਤੀ ਪ੍ਰੋਫਾਈਲ ਚਲਾਉਣ ਤੱਕ ਲੈ ਜਾਂਦੀ ਹੈ, ਜੋ ਟਨਲ ਬਿਲਕੁਲ ਨਾ ਹੋਣ ਤੋਂ ਵੀ ਮਾੜਾ ਹੈ।
ਫਾਈਲ ਇੱਕ ਪਲ ਦਾ ਵਰਣਨ ਕਰਦੀ ਹੈ, ਸਮਝੌਤੇ ਦਾ ਨਹੀਂ
ਕੌਂਫਿਗਰੇਸ਼ਨ ਫਾਈਲ ਦਾਅਵਿਆਂ ਦਾ ਸਮੂਹ ਹੈ: ਇਹ ਹੋਸਟਨਾਮ ਇਸ ਪੋਰਟ ਤੇ ਇਸ ਪ੍ਰੋਟੋਕੋਲ ਨਾਲ ਸੁਣਦਾ ਹੈ, ਇਸ ਨਾਮ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਸਰਟੀਫਿਕੇਟ ਪੇਸ਼ ਕਰਦਾ ਹੈ, ਅਤੇ ਇਹ ਕ੍ਰੈਡੈਂਸ਼ੀਅਲ ਸਵੀਕਾਰ ਕਰਦਾ ਹੈ। ਜਦ ਇਹਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਸੱਚਾ ਰਹਿਣਾ ਬੰਦ ਕਰ ਦਿੰਦਾ ਹੈ, ਫਾਈਲ ਪੁਰਾਣੀ ਹੋ ਜਾਂਦੀ ਹੈ ਅਤੇ ਸੁਧਾਰ ਸੀਮਾ ਦੇ ਆਪਰੇਟਰ ਪਾਸੇ ਦਾ ਹੁੰਦਾ ਹੈ, ਤੁਹਾਡੀ ਸੈਟਿੰਗਾਂ ਦਾ ਨਹੀਂ।
ਜਨਤਕ ਨੋਡ ਸੂਚੀਆਂ ਆਪਣੇ ਸੁਭਾਅ ਨਾਲ ਇਹ ਸਪੱਸ਼ਟ ਕਰਦੀਆਂ ਹਨ। ਨੋਡ ਸਵੈਸੇਵਕ ਚਲਾਉਂਦੇ ਹਨ, ਉਹ ਦਿਖਦੇ ਅਤੇ ਗਾਇਬ ਹੁੰਦੇ ਹਨ, ਪਤੇ ਦੁਬਾਰਾ ਵਰਤੇ ਜਾਂਦੇ ਹਨ ਅਤੇ ਪੋਰਟ ਉਹਨਾਂ ਪਿੱਛੇ ਵਾਲੇ ਨੈੱਟਵਰਕ ਵੱਲੋਂ ਬੰਦ ਕੀਤੇ ਜਾਂਦੇ ਹਨ। ਸੂਚੀ ਇੱਕ ਸਨੈਪਸ਼ਾਟ ਹੈ ਜੋ ਦੁਬਾਰਾ ਬਣਾਇਆ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਤੁਹਾਡੀ ਡਿਸਕ ਤੇ ਪਈ ਕਾਪੀ ਪੁਰਾਣੇ ਸਨੈਪਸ਼ਾਟ ਦੀ ਫੋਟੋ ਹੈ।
ਵਪਾਰਕ ਸੇਵਾਵਾਂ ਹੌਲੀ ਬਦਲਦੀਆਂ ਹਨ, ਪਰ ਕਦੇ ਵੀ ਨਹੀਂ ਐਸਾ ਨਹੀਂ। ਸਰਟੀਫਿਕੇਟ ਅਥਾਰਟੀਆਂ ਬਦਲਦੀਆਂ ਹਨ, ਸਰੋਤਾ ਸਾਂਝੇ ਪਤੇ ਤੋਂ ਵੱਖਰੇ ਪਤੇ ਤੇ ਜਾਂਦਾ ਹੈ, ਪੁਰਾਣਾ ਪ੍ਰੋਟੋਕੋਲ ਹਟਾਇਆ ਜਾਂਦਾ ਹੈ ਅਤੇ ਨਵੀਂ ਸਾਈਫਰ ਸੂਚੀ ਆਉਂਦੀ ਹੈ। ਇਹਨਾਂ ਵਿੱਚੋਂ ਹਰ ਇੱਕ ਅਦਿੱਖ ਰਹਿੰਦਾ ਹੈ ਜਦ ਤੱਕ ਤੁਹਾਡਾ ਕਲਾਇੰਟ ਜੁੜਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਨਹੀਂ ਕਰਦਾ ਅਤੇ ਫਾਈਲ ਦੀ ਉਮੀਦ ਨਾਲੋਂ ਵੱਖਰਾ ਜਵਾਬ ਨਹੀਂ ਪਾਉਂਦਾ।
ਕਿਸੇ ਸੈਟਿੰਗ ਨੂੰ ਛੂਹਣ ਤੋਂ ਪਹਿਲਾਂ ਅਸਫਲਤਾ ਦਾ ਪੜਾਅ ਪੜ੍ਹੋ
ਗਲਤੀ ਸੁਨੇਹਾ ਦੱਸਦਾ ਹੈ ਕਿਹੜਾ ਦਾਅਵਾ ਟੁੱਟਿਆ, ਅਤੇ ਹਰ ਦਾਅਵੇ ਦਾ ਸੁਧਾਰ ਬਿਲਕੁਲ ਵੱਖਰਾ ਹੈ। ਹੋਸਟਨਾਮ ਦੇ ਹੱਲ ਨਾ ਹੋਣ ਤੇ ਸਾਈਫਰ ਸੋਧਣਾ ਇੱਕ ਦੁਪਹਿਰ ਬਰਬਾਦ ਕਰਦਾ ਹੈ ਅਤੇ ਕਿਸੇ ਨੂੰ ਕੁਝ ਨਹੀਂ ਸਿਖਾਉਂਦਾ।
| What happens | The assertion that broke | Supported response |
|---|---|---|
| Name never resolves | The host still exists under that name | Get a current endpoint from the operator |
| TCP connect times out | The listener is on that port and reachable | Check the current published port, then the local network |
| TLS or key exchange fails | The peer presents the expected identity | Compare the certificate, not the cipher list |
| Authentication rejected | The account is still valid | Get credentials reissued or stop using the service |
dig +short vpn.example.net
curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect}\n' --max-time 8 https://vpn.example.net:443/
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/nullਵਿਚਕਾਰਲੀ ਲਾਈਨ ਰੁਕੇ ਹੋਏ ਰਾਹ ਨੂੰ ਟੁੱਟੇ ਹੈਂਡਸ਼ੇਕ ਤੋਂ ਵੱਖ ਕਰਦੀ ਹੈ, ਅਤੇ ਤੀਜੀ ਅਸਲ ਵਿੱਚ ਪੇਸ਼ ਕੀਤੇ ਸਰਟੀਫਿਕੇਟ ਦਾ ਜਾਰੀਕਰਤਾ ਅਤੇ ਵੈਧਤਾ ਤਾਰੀਖਾਂ ਦਿਖਾਉਂਦੀ ਹੈ। ਜੇ ਉਹ ਜਾਰੀਕਰਤਾ ਉਹ ਨਹੀਂ ਜੋ ਪ੍ਰੋਫਾਈਲ ਨੇ ਪਿੰਨ ਕੀਤਾ ਸੀ, ਸਰਟੀਫਿਕੇਟ ਬਦਲ ਗਿਆ ਹੈ, ਅਤੇ ਕੋਈ ਵੀ ਕਲਾਇੰਟ-ਪਾਸੇ ਵਿਕਲਪ ਪੁਰਾਣੀ ਪਿੰਨ ਨੂੰ ਦੁਬਾਰਾ ਸਹੀ ਨਹੀਂ ਬਣਾਏਗਾ।
ਸਰਟੀਫਿਕੇਟ ਅਤੇ ਪਛਾਣ ਦੇ ਬਦਲਾਅ ਹੀ ਸ਼ਾਂਤ ਹਨ
ਬਹੁਤੀਆਂ ਅਸਫਲਤਾਵਾਂ ਆਪਣੀ ਘੋਸ਼ਣਾ ਆਪ ਕਰਦੀਆਂ ਹਨ। ਪਛਾਣ ਦੇ ਬਦਲਾਅ ਨਹੀਂ ਕਰਦੇ, ਕਿਉਂਕਿ ਸਰਟੀਫਿਕੇਟ ਦਾ ਨਾਮ ਪਿੰਨ ਕਰਨ ਵਾਲਾ ਕਲਾਇੰਟ ਪੂਰੀ ਤਰ੍ਹਾਂ ਚੰਗੇ ਨਵੇਂ ਸਰਟੀਫਿਕੇਟ ਨੂੰ ਇੱਕ ਸੁਨੇਹੇ ਨਾਲ ਰੱਦ ਕਰੇਗਾ ਜਿਸਨੂੰ ਬਹੁਤ ਲੋਕ ਬੱਗ ਸਮਝਦੇ ਹਨ। ਟਨਲ ਠੀਕ ਹੈ। ਪਿੰਨ ਪੁਰਾਣੀ ਹੈ।
ਕੋਈ ਨਤੀਜਾ ਕੱਢਣ ਤੋਂ ਪਹਿਲਾਂ ਪਛਾਣ ਦੇ ਵਿਕਲਪ ਲੱਭੋ:
grep -nE '^(remote|proto|auth|verify-x509-name|tls-crypt|key-direction|ca) ' profile.ovpn
openssl x509 -in profile-ca.crt -noout -subject -datesਜੇ ਪ੍ਰੋਫਾਈਲ ਵਿੱਚ ਇੰਬੈੱਡ CA ਹੈ ਅਤੇ ਆਪਰੇਟਰ ਨਵੀਂ ਅਥਾਰਟੀ ਤੇ ਗਿਆ ਹੈ, ਤਾਂ ਪੁਰਾਣੀ ਫਾਈਲ ਨਵੇਂ ਸਰਵਰ ਦੀ ਤਸਦੀਕ ਨਹੀਂ ਕਰ ਸਕਦੀ। CA ਬਲਾਕ ਨੂੰ ਆਪਰੇਟਰ ਵੱਲੋਂ ਪ੍ਰਕਾਸ਼ਿਤ ਨਾਲ ਬਦਲਣਾ ਜਾਇਜ਼ ਸੁਧਾਰ ਹੈ। ਤਸਦੀਕ ਦੀ ਹਦਾਇਤ ਮਿਟਾਉਣਾ ਨਹੀਂ, ਅਤੇ ਇਹ ਉਹੀ ਕੀ-ਸਟ੍ਰੋਕ ਹਨ, ਨਤੀਜਾ ਬਿਲਕੁਲ ਵੱਖਰਾ।
ਆਪਰੇਟਰ ਦੇ ਕਿਸੇ ਬਦਲਾਅ ਤੋਂ ਬਿਨਾਂ ਵੀ ਕਲਾਇੰਟ ਅਪਗ੍ਰੇਡ ਉਹੀ ਲੱਛਣ ਪੈਦਾ ਕਰ ਸਕਦਾ ਹੈ। ਜਿਹੜੇ ਵਿਕਲਪ ਚੁੱਪਚਾਪ ਬਰਦਾਸ਼ਤ ਹੁੰਦੇ ਸਨ ਉਹ ਹੁਣ ਰੱਦ ਹੁੰਦੇ ਹਨ, ਜਾਂ ਪੁਰਾਣਾ ਪ੍ਰੋਟੋਕੋਲ ਹਟਾ ਦਿੱਤਾ ਜਾਂਦਾ ਹੈ। ਇਹ ਤੁਹਾਡੇ ਸਾਫਟਵੇਅਰ ਦੀ ਅਨੁਕੂਲਤਾ ਦੀ ਹੱਦ ਹੈ, ਅਤੇ ਸਰਵਰ ਨੂੰ ਦੋਸ਼ ਦੇਣ ਤੋਂ ਪਹਿਲਾਂ ਉਸੇ ਕਲਾਇੰਟ ਤੇ ਦੂਜੀ ਪ੍ਰੋਫਾਈਲ ਅਜ਼ਮਾਉਣਾ ਯੋਗ ਹੈ।
ਵੈਧ ਬਦਲ ਸਿਰਫ਼ ਆਪਰੇਟਰ ਹੀ ਪ੍ਰਕਾਸ਼ਿਤ ਕਰ ਸਕਦਾ ਹੈ
ਜਦ ਨੋਡ ਗਾਇਬ ਹੋ ਜਾਂਦਾ ਹੈ, ਬਦਲ ਉਸੇ ਸਰੋਤ ਤੋਂ ਆਉਣਾ ਚਾਹੀਦਾ ਹੈ ਜਿਸਨੇ ਅਸਲ ਪ੍ਰਕਾਸ਼ਿਤ ਕੀਤਾ ਸੀ। ਸਿੱਧੇ ਸੁਨੇਹੇ ਵਿੱਚ ਆਉਣ ਵਾਲੀ ਪ੍ਰੋਫਾਈਲ, ਕਿਉਂਕਿ ਇਹ «ਉਹੀ ਸਰਵਰ ਨਾਮ ਵਰਤਦੀ ਹੈ», ਕਿਸੇ ਅਣਜਾਣ ਧਿਰ ਦੀ ਬਿਨਾਂ ਜਾਂਚੀ ਕੌਂਫਿਗਰੇਸ਼ਨ ਹੈ, ਅਤੇ ਇਸਨੂੰ ਆਯਾਤ ਕਰਨਾ ਉਸ ਧਿਰ ਨੂੰ ਤੁਹਾਡੀ ਰਾਊਟਿੰਗ ਤੇ ਕੰਟਰੋਲ ਦੇ ਦਿੰਦਾ ਹੈ।
ਜਾਂਚ ਸਸਤੀ ਹੈ। ਪ੍ਰਕਾਸ਼ਿਤ ਟਿਕਾਣੇ ਤੋਂ ਮੌਜੂਦਾ ਫਾਈਲ ਲਿਆਓ, ਐਂਡਪੌਇੰਟ ਅਤੇ ਪ੍ਰੋਟੋਕੋਲ ਦੀ ਸੂਚੀ ਨਾਲ ਤੁਲਨਾ ਕਰੋ, ਅਤੇ ਫਾਈਲ ਦੇ ਨਾਮ ਤੇ ਭਰੋਸਾ ਕਰਨ ਦੀ ਥਾਂ CA ਸਮੱਗਰੀ ਦੀ ਫਿੰਗਰਪ੍ਰਿੰਟ ਦੀ ਪੁਸ਼ਟੀ ਕਰੋ:
curl -sS -o current.ovpn https://example.org/nodes/current.ovpn
sha256sum current.ovpn profile.ovpn
grep -nE '^(remote|proto) ' current.ovpnਜੇ ਦੋਵੇਂ ਹੈਸ਼ ਸਿਰਫ਼ ਖਾਲੀ ਥਾਂਵਾਂ ਵਿੱਚ ਵੱਖਰੇ ਹਨ, ਤਾਂ ਇਹ ਫਾਰਮੈਟਿੰਗ ਬਦਲਾਅ ਹੈ। ਜੇ ਉਹ ਐਂਡਪੌਇੰਟ ਵਿੱਚ ਵੱਖਰੇ ਹਨ, ਤਾਂ ਆਪਰੇਟਰ ਨੇ ਕੁਝ ਹਿਲਾਇਆ ਹੈ ਅਤੇ ਪ੍ਰਕਾਸ਼ਿਤ ਫਾਈਲ ਹੀ ਅਧਿਕਾਰ ਹੈ। ਜੇ ਪ੍ਰਕਾਸ਼ਿਤ ਫਾਈਲ ਤੁਹਾਡੇ ਕੋਲ ਵਾਲੀ ਨਾਲੋਂ ਪੁਰਾਣੀ ਹੈ, ਤਾਂ ਤੁਸੀਂ ਸ਼ਾਇਦ ਕੈਸ਼ ਵੇਖ ਰਹੇ ਹੋ, ਅਤੇ ਪੁਰਾਣਾ ਜਵਾਬ ਤੁਹਾਨੂੰ ਗਲਤ ਦਿਸ਼ਾ ਵਿੱਚ ਭੇਜੇਗਾ।
ਪੁਰਾਣੀ ਐਂਟਰੀ ਹਟਾਓ ਅਤੇ ਕੀ ਹੋਇਆ ਲਿਖੋ
ਕੰਮ ਕਰਨ ਵਾਲਾ ਬਦਲ ਤਸਦੀਕ ਹੋਣ ਤੋਂ ਬਾਅਦ, ਪੁਰਾਣੀ ਪ੍ਰੋਫਾਈਲ ਨੂੰ ਬੈਕਅੱਪ ਵਜੋਂ ਰੱਖਣ ਦੀ ਥਾਂ ਮਿਟਾ ਦਿਓ। ਅੱਧੀ ਜੁੜਨ ਵਾਲੀ ਪੁਰਾਣੀ ਐਂਟਰੀ ਇੱਕ ਜਾਲ ਹੈ: ਇਹ ਰੁਕਾਵਟ ਦੇ ਸਮੇਂ ਚੁਣੀ ਜਾਵੇਗੀ, ਇਹ ਹੌਲੀ ਅਸਫਲ ਹੋਵੇਗੀ, ਅਤੇ ਡੀਬੱਗ ਕਰਨ ਵਾਲਾ ਪਹਿਲੇ ਦਸ ਮਿੰਟ ਗਲਤ ਫਾਈਲ ਤੇ ਬਿਤਾਏਗਾ।
ਕੌਂਫਿਗਰੇਸ਼ਨ ਤੋਂ ਬਾਹਰ ਛੋਟੀ ਰਿਕਾਰਡ ਰੱਖੋ: ਤਾਰੀਖ, ਪੁਰਾਣਾ ਐਂਡਪੌਇੰਟ, ਅਸਫਲਤਾ ਦਾ ਪੜਾਅ ਅਤੇ ਇਸਦੀ ਥਾਂ ਕਿਸਨੇ ਲਈ। ਜਨਤਕ ਨੋਡ ਬਦਲਦੇ ਹਨ, ਅਤੇ ਛੇ ਹਫ਼ਤਿਆਂ ਬਾਅਦ ਉਹੀ ਸਵਾਲ ਕਿਸੇ ਹੋਰ ਵਿਅਕਤੀ ਨਾਲ ਆਉਂਦਾ ਹੈ। ਨੋਟ ਫਾਈਲ ਦੀ ਇੱਕ ਲਾਈਨ ਸਕਿੰਟਾਂ ਵਿੱਚ ਇਸਦਾ ਜਵਾਬ ਦਿੰਦੀ ਹੈ।
ਜੇ ਇੱਕ ਨੈੱਟਵਰਕ ਤੋਂ ਹਰ ਨੋਡ ਉਸੇ ਤਰ੍ਹਾਂ ਅਸਫਲ ਹੁੰਦਾ ਹੈ ਅਤੇ ਦੂਜੇ ਤੋਂ ਕੋਈ ਨਹੀਂ, ਤਾਂ ਪ੍ਰੋਫਾਈਲ ਸੋਧਣਾ ਬੰਦ ਕਰੋ ਅਤੇ ਸਥਾਨਕ ਰਾਹ ਵੇਖੋ। ਕੈਪਟਿਵ ਪੋਰਟਲ, ਫਿਲਟਰ ਕੀਤੀ ਪੋਰਟ ਰੇਂਜ ਜਾਂ ਵਿਚਕਾਰ ਰੋਕਣ ਵਾਲਾ ਪ੍ਰੌਕਸੀ ਅਸੰਬੰਧਿਤ ਪ੍ਰਦਾਤਾਵਾਂ ਤੇ ਇੱਕੋ ਜਿਹੀਆਂ ਗਲਤੀਆਂ ਪੈਦਾ ਕਰੇਗਾ, ਅਤੇ ਇਹੀ ਪੈਟਰਨ ਇਕੋ ਸੰਕੇਤ ਹੈ ਕਿ ਸਮੱਸਿਆ ਕਦੇ ਫਾਈਲ ਨਹੀਂ ਸੀ।