ولې OpenVPN د Ubuntu له لوړولو وروسته نښلول بند کړل؟

هغه VPN پروفایلونه چې تېره اونۍ کارېدل، د Ubuntu د خپرېدو له لوړولو وروسته ماتېږي، او لاګونه د لوړولو یادونه په کمه توګه کوي۔ هغه څه چې نوم یې اخلي هغه پوړ دی چې ناکام شو: د TLS لاس ورکول، د معلوماتو کانال لپاره موافقه شوې کوډګري، نصب شوی بنډل، یا د OpenSSL هغه نقل چې باینري د پیل پر مهال ځان ته باروي۔ هر پوړ خپله د تېروتنې بڼه او خپل سمون لري، نو ډلبندي لومړی کار او سمول دویم کار دی۔ تر هغه چې لاګ نوم ورنکړي پروفایل بې ګناه وګڼئ۔

کوم پوړ ناکام شو: لاس ورکول، کوډګري، بنډل که کتابخانه

د پروفایل له لاس وهلو مخکې د کارخواه لاګ ولولئ۔ د وتلو لومړنۍ تېروتنه هغه ده چې پوړ په نښه کوي؛ هر څه چې وروسته چاپ شي معمولاً د هماغې لومړنۍ ناکامۍ پایله ده۔ کله چې کارخواه په بشپړه توګه پیل نه شي، د VPN لاګ د پرانیستلو لپاره غلط فایل دی۔

د سندونو او لاسلیکونو په اړه شکایتونه، یا د کیلي د اوږدوالي په اړه پیغام، له کنټرول کانال او هغې کتابخانې تګلارې څخه راځي چې هغه تنظیموي۔ خو هغه خبرداری چې په DEPRECATED OPTION پیل شي د معلوماتو کانال د خبرو اترو اړوند دی۔

داسې کرښه Unrecognized option دریمه کټګوري ده: نوی باینري نور هغه لارښوونه نه مني چې پخواني زغملې وه، نو پروفایل باید بیا ولیکل شي نه دا چې کتابخانه نرمه شي۔ د بنډل ناکامۍ بیا بل ډول ښکاري، ځکه چې د تونل له کوم کوډ چلېدو مخکې پېښېږي۔ ورک باینري، هغه پلګن چې نه بارېږي، یا هغه زېرمه چې غلط کوډنوم ته اشاره کوي ټول هماغه بڼه جوړوي۔ څلور نښې، څلور ځایونه چې وګورئ، او د سمونونو ترمنځ نږدې هیڅ یو بل ته ننوتل نشته۔

کله چې لاس ورکول ناکام شي، د TLS تګلاره سند ردوي

Ubuntu 22.04 سیستم OpenSSL 3 ته واړوه، او په دې څانګه کې ډیفالټ امنیتي کچه د سند لاسلیکونو او کیلي اندازو په اړه له 20.04 څخه سختېره ده۔ هغه CA سند چې په زړه ډایجسټ لاسلیک شوی، یا له اوسني حد څخه ټیټه کیلي، اوس د لاس ورکولو پر مهال ناکامېږي۔ ځکه چې لا هیڅ تصدیق شوی نه دی، تېروتنه د غلط پټنوم یا مړ سرور په څېر لوستل کېږي۔

تنگ سمون یوازې دې اړیکې ته د کوډګرۍ یوه تړنه نښلوي۔ په ډیسکټاپ سمونگر کې پروفایل پرانیزئ، پرمختیایي تنظیماتو ته ورشئ او DEFAULT:@SECLEVEL=0 د TLS کوډګرۍ په ساحه کې کېږدئ۔ د NetworkManager کیلي-فایل [vpn] لاندې هماغه ارزښت اخلي:

[vpn]
tls-cipher=DEFAULT:@SECLEVEL=0

NetworkManager بیا پیل کړئ او بیا ونښلئ، ځکه ډیمون تحلیل شوي پروفایلونه په کیش کې ساتي او که نه نو هغه نقل به کاروي چې دمخه یې لري۔ د کرښې له ساتلو مخکې پوه شئ چې څه کوي: دا تنظیم د کوډګرۍ نوم نه دی بلکې پر څو سند او کیلي پارامیټرونو یو حد دی، نو ټیټول یې هغه څه پراخوي چې یو پروفایل یې مني۔ ولیکئ کوم سرور غوښتی و او کله چې چلونکی تازه مواد بیا خپاره کړي تنظیم پرېږدئ۔ خو /etc/ssl/openssl.cnf بدلول هر هغه پروګرام لپاره هماغه حد ته رسېږي چې هغه فایل لولي، او دا له VPN څخه ډېر لرې دی۔

OpenVPN 2.6 د خبرو اترو لپاره کوډګرۍ په لیست کې غواړي

Ubuntu 22.10 OpenVPN 2.6 راوړ، او په هغه خپرونه کې --cipher پخپله د معلوماتو کانال غوره کول بندوي۔ کوډګري باید په موافقه شوې data-ciphers لیست کې هم وي، که نه کارخواه د زړېدو خبرداری چاپوي او بیا تونل پورته نه شي کولی۔

د همدې مودې NetworkManager پلګن لا هم یوازې زړه لارښوونه لیکله۔ دا تفصیل تشخیص تقسیموي، ځکه په لاس سم شوی پروفایل کولای شي له شیل څخه ونښلي او بیا هم له ډیسکټاپ اپلیټ څخه ناکام شي۔ لیست په اړیکې فایل کې [vpn] لاندې ورزیات کړئ:

data-ciphers=AES-256-CBC

هغه ارزښت وکاروئ چې سرور یې اعلانوي، نه هغه چې په یاد لرئ؛ هغه سرور چې AES-256-GCM وړاندې کوي له هغه کارخواه لیست سره به خبرې ونه کړي چې یوازې CBC نوموي۔ مدیر بیا پیل کړئ او بیا ونښلئ، بیا له شیل څخه هڅه تکرار کړئ او کوډګري په روښانه ډول د خبرو اترو او د بدیل دواړو لپاره ورکړئ:

sudo openvpn --config client.ovpn --data-ciphers AES-256-CBC --data-ciphers-fallback AES-256-CBC

که هغه فرمان تونل پورته کړي، سرور، سندونه او اعتبارنامې ټولې سمې دي، او یوازینی پاتې عیب د مدیر ساتل شوی انتخاب دی۔ د keysize لارښوونې په اړه خبرداری هماغه پاکولو ته اړوند دی: پرې تبصره وکړئ او اصلي فایل د پروفایل ترڅنګ وساتئ۔

د بنډل او پلګن عیبونه د VPN عیبونو په څېر ښکاري

له لوړولو وروسته هر ناکامي کوډګریزه نه ده۔ هغه OpenVPN زېرمه چې د هغه کوډنوم لاندې ورزیات شوې چې خپرونه یې نه کاروي، هغه بنډل جوړوي چې هیڅکله نه نصبېږي، نو پرتله کړئ چې lsb_release -a څه راپور ورکوي د هغه لیست فایل سره چې تاسو ورزیات کړی۔ ورک universe برخه یا امنیتي جېب هغه بنډل جوړوي چې په بشپړه توګه نه موندل کېږي۔ دواړه حالتونه پروفایل نه لمس شوی او تونل ناشونی پرېږدي۔

د VPN لاګ مخکې د بنډل مدیر تېروتنه ولولئ۔ که کارخواه هیڅکله نصب شوی نه وي، د پروفایل د سمولو هیڅ اندازه لاس ورکول نه جوړوي۔

هغه دوه-فاکتوره پروفایلونه چې پوښتل بندوي د همدې کیسې پلګن بڼه ده۔ ننګونه د تصدیق پلګن څخه راځي، او هغه لوړول چې هغه یې لیرې یا بدل کړ پروفایل روغ پرېږدي او پوښتنه ورکېږي۔ د اړیکې د کار کولو لپاره دویم فاکتور نه ړنګوئ بلکې ملاتړ شوی پلګن بیا نصب کړئ۔

د عرضه کوونکي کتابخانه کولای شي د تګلارې تېروتنې تر شا پټه شي

یو بڼه د پېژندلو وړ ده ځکه چې هر تګلاري سمون ته ماتې ورکوي۔ د هارډویر عرضه کوونکي د ترتیب وسیله کولای شي خپلې OpenSSL کتابخانې نصب او د باروونکي په لټون لار کې له سیسټم نقلونو مخکې یې کېږدي۔ بیا کارخواه د هغې کتابخانې پر وړاندې پیلېږي چې هیڅوک نه ده لوړه کړې، او د پیل ناکامي په بشپړه توګه د رد شوي سند په څېر ښکاري۔

د VPN بنډل بیا نصبول نه بدلوي چې کومه کتابخانه لومړی موندل کېږي، او د TLS کچې ټیټول هغې کتابخانې ته نه رسېږي چې هیڅکله له سیسټم څخه نه ده راغلې۔ له باروونکي وپوښتئ چې باینري په رښتیا کومې کوډګریزې شیانې حلوي:

ldd /usr/sbin/openvpn | grep -i -E 'ssl|crypto'

د عرضه کوونکي نقل لیرې یا بیا لارښود کړئ، بیا هماغه کتنه بیا وچلوئ۔ تمه شوې بڼه باید هغه وي چې کارېږي، مخکې له دې چې پروفایل ته بېرته شئ۔

زړ کارخواه پین کول وخت اخلي، حل نه

د تېر کارخواه بڼه ساتل تر هغه چې ساتنه دوام کوي تونل بیا رغوي۔ دا هغه بنډل لپاره امنیتي تازه کول هم کنګلوي او بل لوړولو ته هماغه ماتېدل مهالوېشوي، نو د حل نه بلکه د نېټې لرونکي لنډمهاله اقدام په توګه وګڼئ۔

که سره له دې پین یې کړئ، بنډل په روښانه ډول وساتئ چې بې څارنې لوړول پین نه شي باطلولی، دلیل او د بیا کتنې نېټه ولیکئ، او د عرضه کوونکي بل پروفایل خپرېدو لپاره یادونه وټاکئ۔ د پام وړ شرط هغه سرور پروفایل دی چې اوسنۍ کوډګري خبرې کوي؛ کله چې هغه وي، پین نور هیڅ توجیه نه لري۔ پر خلاف، نه ثبت شوی پین شپږ میاشتې وروسته هغه خنډ ګرځي چې هیڅوک یې نه شي تشریح کولی، ځکه چې کاروونکی یې تللی وي او فایل هیڅ نه ثبتوي۔

بل ځل چې VPN له خپرېدو لوړولو وروسته ومري، پنځه پوښتنې په ترتیب وکړئ: کوم پوړ لومړنۍ تېروتنه ورکړه، آیا TLS تګلارې سند رد کړ، آیا کوډګري په دواړو لورو خبرې کېدای شي، آیا بنډل او پلګن یې په رښتیا نصب شول، او پروسه کومه کتابخانه باروي۔ یوازې هغه وخت چې پنځه واړه پاک راوګرځي، د بڼې ټیټول معنا لري۔