Erro de cifra fraca do vpnc: política do gateway ou reparo do desktop?

Dois reparos parecem igualmente rápidos quando uma conexão vpnc antiga se recusa a subir: passar a antiga flag de cifra fraca ou inserir um script wrapper que a adicione por você. Não são equivalentes, porque um muda a política de um único perfil e o outro o comportamento de todo programa que chama esse caminho. A primeira pergunta é se o gateway ainda oferece uma proposta fraca, e a segunda é quem tem permissão para aceitá-la. Todo o resto decorre dessas duas respostas.

Dois reparos com alcances muito diferentes

Uma mudança no nível do perfil toca uma conexão, um proprietário e uma data de expiração. Substituir o binário instalado toca cada frontend da máquina, incluindo o applet de desktop que um colega usa para um perfil de gateway completamente diferente. O wrapper também esconde a mudança de quem for depurar o host seis meses depois.

A verificação do pacote é a primeira vítima: um arquivo em /usr/sbin/vpnc que não corresponde mais ao seu pacote transforma uma atualização de segurança de rotina em investigação. As atualizações então sobrescrevem o wrapper em silêncio ou se recusam a ser aplicadas, dependendo de como o gerenciador de pacotes trata arquivos modificados. Nenhum dos resultados aparece no log de conexão, e é por isso que a abordagem do wrapper continua atraente até o primeiro incidente. Uma única linha num perfil é muito mais fácil de encontrar e remover do que um binário que ninguém lembra ter substituído.

O que o interruptor obsoleto realmente faz

O manual do vpnc marca a opção de DES único como obsoleta em favor de uma configuração de cifra fraca, e documenta uma opção separada que não permite cifra alguma para o tráfego de dados. São concessões diferentes com consequências diferentes. Nenhuma delas faz um gateway moderno negociar algo que já não oferece.

Leia a fase da falha antes de escolher um reparo. Uma proposta rejeitada e uma senha rejeitada produzem mensagens de frontend semelhantes, mas evidências completamente diferentes.

Onde cabe uma exceção limitada

Se uma organização aceita conscientemente um par antigo por um período limitado, a exceção pertence ao perfil desse par, com um proprietário, uma data de revisão e um caminho de migração para um protocolo suportado. Mantê-la fora do caminho global é todo o sentido de chamá-la limitada.

Peça ao proprietário do gateway que confirme quais algoritmos o par ainda propõe e o que o substitui. Uma flag de cliente não repara uma proposta que o servidor não envia mais, e uma migração de servidor que ninguém agendou sobreviverá à solução alternativa. Coloque a data de revisão no mesmo ticket da exceção, para que a concessão expire em vez de se tornar permanente.

Verifique a negociação, não apenas o ícone verde

Reúna evidências que identifiquem a fase em vez do humor do diálogo. Os comandos abaixo são apenas de leitura, e os dois primeiros mostram qual configuração e versão estão realmente em jogo.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

O terceiro comando relata arquivos que já não correspondem ao pacote, e é assim que um wrapper esquecido se anuncia. O quarto mostra as concessões que o perfil carrega, para que uma exceção não se espalhe silenciosamente para um segundo perfil através de um arquivo copiado. Execute ambos antes e depois de uma mudança, e guarde a saída com o perfil de conexão em vez de numa janela de chat.

Mantenha a saída de depuração fora dos tickets até que alguém a tenha lido, porque o manual avisa que o nível mais alto de depuração despeja dados de autenticação, incluindo senhas. O critério de aceitação é um acordo autorizado e suportado entre cliente e gateway, não um item de menu que finalmente fica verde. Se o par só oferece um algoritmo quebrado, o resultado honesto é uma exceção com data de fim ou um protocolo substituto, e essa decisão pertence a quem possui o gateway. Registrar a decisão é a diferença entre uma exceção gerenciada e uma mudança de política acidental.