Zastarjeli retci šifri u starim VPN profilima: pročitajte prije kopiranja

Ovaj profil, napisan 2016, još se uvozi i još se povezuje. Upravo zato nitko ne gleda u njega. Klijent koji je nekoć čitao ove direktive odavno je nestao, a trenutna verzija neke od njih može tumačiti drukčije.

To što je datoteka preživjela ne znači da je konfiguracija aktualna. Razdvajanje tih dviju ideja veći je dio posla.

Saznajte koji je klijent napisao profil

Počnite od izdavača i verzije. Značenje direktive definira implementacija koja ju čita. Redak koji je nekoć birao algoritam može postati rezervni popis, upozorenje ili tvrda pogreška. Koje izdanje to tumači odlučuje ishod.

OpenVPN je najjasniji primjer. Verzija 2.5 uvela je data-ciphers i promijenila kako starija direktiva cipher sudjeluje u pregovorima. Profil koji nosi samo cipher AES-128-CBC sada daje mnogo užu ponudu nego što je autor namjeravao.

Pročitajte napomene o izdanju za postavku koja sada upozorava ili ne uspijeva. Upozorenje u dnevniku činjenica je o trenutnoj verziji i važnije je od bilo čijeg sjećanja na to zašto je redak dodan.

Pogledajte što je zapravo dogovoreno

Uspješan uvoz dokazuje tumačenje, ne politiku. Dogovoreni se rezultat pojavljuje u dnevniku klijenta nakon uspostavljanja veze. Može se razlikovati od obaju krajeva konfiguracijske datoteke.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

Prihvaćeni uvoz koji tiho odbaci direktivu ostavlja profil koji se čita na jedan način, a ponaša na drugi. Taj jaz objašnjava kako dokument označen kao ojačan dogovara nešto slabije nego što tvrdi njegov vlastiti tekst. Dnevnik je jedino mjesto gdje se razlika vidi. Pročitajte ga prije nego što povjerujete datoteci.

Nadogradite raspored, ne redak

Uzmite profil koji održava operater umjesto sastavljanja naziva algoritama dok se uvoz ne prestane žaliti. Dodavanje redaka pokusom okreće smjer popravka. Ono prilagođava klijent nepoznatom poslužitelju umjesto da utvrdi što poslužitelj podržava.

Poslužitelju može trebati i usklađena nadogradnja. Trenutni klijent ne može stvoriti podršku za ponudu koju druga strana nikada ne nudi. Nijedna opcija na strani klijenta ne zamjenjuje pristupnik koji nije ažuriran.

Ono što se ne smije žrtvovati jest provjera. Uklanjanje provjera certifikata, isključivanje provjere imena hosta ili isključivanje ažuriranja da bi stari profil ostao živ pretvara problem kompatibilnosti u problem povjerenja. To se obično događa po jedna mala izmjena.

Potvrdite rezultat i zabilježite iznimku

Nakon promjene ponovno pregledajte dogovoreni skup i testirajte resurs zbog kojeg tunel postoji. Profil koji dogovori ono što ste namjeravali i još ne dosegne uslugu ima problem s usmjeravanjem ili identitetom. Nema kriptografski problem.

Držite prethodnu provjerenu konfiguraciju na zaštićenom mjestu. Usporedba je moguća samo dok stara datoteka još postoji.

Dokumentirajte svaku iznimku kompatibilnosti s vlasnikom i datumom pregleda. Privremeno rješenje bez vlasnika postaje trajna politika. Sljedeća osoba koja pročita datoteku pretpostavit će da je izabrano namjerno.