Ubuntu උත්ශ්‍රේණි කිරීමෙන් පසු OpenVPN සම්බන්ධ වීම නැවැත්වූයේ ඇයි?

පසුගිය සතියේ වැඩ කළ VPN පැතිකඩ Ubuntu නිකුතු උත්ශ්‍රේණියකින් පසු කැඩෙන අතර, ලොගය උත්ශ්‍රේණිය ගැන කලාතුරකින් සඳහන් කරයි. එය නම් කරන්නේ අසාර්ථක වූ ස්ථරයයි: TLS අත් අල්ලන සිදුවීම, දත්ත චැනලය සඳහා සාකච්ඡා කළ සයිෆර්, ස්ථාපිත කළ පැකේජය, හෝ බයිනරිය ආරම්භයේදී පූරණය කරන OpenSSL පිටපත. සෑම ස්ථරයකටම තමන්ගේ දෝෂ හැඩය සහ තමන්ගේ අලුත්වැඩියාව ඇත, එබැවින් වර්ගීකරණය පළමු වැඩය ද සංස්කරණය දෙවන වැඩය ද වේ. ලොගය එය නම් නොකරන තුරු පැතිකඩ නිර්දෝෂී ලෙස සලකන්න.

කුමන ස්ථරය අසාර්ථක විය: අත් අල්ලන සිදුවීම, සයිෆර්, පැකේජය හෝ පුස්තකාලය

පැතිකඩ ස්පර්ශ කිරීමට පෙර සේවාලාභියාගේ ලොගය කියවන්න. ප්‍රතිදානයේ වඩාත් මුල් දෝෂය ස්ථරය හඳුනා ගන්නා දෙයයි; ඉන් පසු මුද්‍රණය වන සියල්ල සාමාන්‍යයෙන් එම පළමු අසාර්ථකත්වයේ ප්‍රතිඵලයකි. සේවාලාභියා කිසිසේත් ආරම්භ නොවන්නේ නම්, VPN ලොගය විවෘත කිරීමට වැරදි ගොනුවයි.

සහතික සහ අත්සන් පිළිබඳ පැමිණිලි, හෝ යතුරු දිග පිළිබඳ පණිවිඩය, පාලක චැනලයෙන් සහ එය පාලනය කරන පුස්තකාල ප්‍රතිපත්තියෙන් පැමිණේ. එහෙත් DEPRECATED OPTION යන්නෙන් ආරම්භ වන අනතුරු ඇඟවීම දත්ත චැනලයේ සාකච්ඡාවට අයත් වේ.

එවැනි පේළියක් Unrecognized option තුන්වන කාණ්ඩයකි: නව බයිනරිය පැරණිය ඉවසූ නියෝගයක් තවදුරටත් පිළිගන්නේ නැත, එබැවින් පුස්තකාලය ලිහිල් කිරීම වෙනුවට පැතිකඩ නැවත ලිවිය යුතුය. පැකේජ දෝෂ නැවතත් වෙනස් ලෙස පෙනෙන්නේ ඒවා කිසිදු උමං කේතයක් ධාවනය වීමට පෙර සිදුවන බැවිනි. නැති වූ බයිනරිය, පූරණය නොවන ප්ලගිනය, හෝ වැරදි කේත නාමයකට යොමු වන ගබඩාව — සියල්ල එම හැඩය ලබා දෙයි. රෝග ලක්ෂණ හතරක්, බැලීමට ස්ථාන හතරක්, සහ අලුත්වැඩියා අතර පාහේ කිසිදු අතිච්ඡාදනයක් නැත.

අත් අල්ලන සිදුවීම අසාර්ථක වූ විට, TLS ප්‍රතිපත්තිය සහතිකය ප්‍රතික්ෂේප කරයි

Ubuntu 22.04 පද්ධතිය OpenSSL 3 වෙත ගෙන ගිය අතර, එම ශාඛාවේ පෙරනිමි ආරක්ෂක මට්ටම සහතික අත්සන් සහ යතුරු ප්‍රමාණ සම්බන්ධයෙන් 20.04 ට වඩා දැඩි ය. පැරණි ඩයිජස්ටයකින් අත්සන් කළ CA සහතිකයක්, හෝ වර්තමාන සීමාවට වඩා අඩු යතුරක්, දැන් අත් අල්ලන අවස්ථාවේදී අසාර්ථක වේ. තවම කිසිවක් සත්‍යාපනය නොවූ බැවින්, දෝෂය වැරදි මුරපදයක් හෝ මළ සේවාදායකයක් ලෙස කියවේ.

පටු අලුත්වැඩියාව මෙම සම්බන්ධතාවයට පමණක් සයිෆර් තන්තුවක් අමුණයි. ඩෙස්ක්ටොප් සංස්කාරකයේ පැතිකඩ විවෘත කර, උසස් සැකසීම් වෙත ගොස්, DEFAULT:@SECLEVEL=0 TLS සයිෆර් ක්ෂේත්‍රයේ තබන්න. NetworkManager යතුරු ගොනුව [vpn] යටතේ එම අගයම ගනී:

[vpn]
tls-cipher=DEFAULT:@SECLEVEL=0

NetworkManager නැවත ආරම්භ කර නැවත සම්බන්ධ වන්න, මන්ද ඩීමන් විග්‍රහ කළ පැතිකඩ හැඹිලිගත කරන අතර එසේ නොකළහොත් දැනටමත් ඇති පිටපත දිගටම භාවිත කරයි. පේළිය තබා ගැනීමට පෙර එය කරන්නේ කුමක්දැයි දැනගන්න: එම සැකසීම සයිෆර් නාමයක් නොව සහතික සහ යතුරු පරාමිතීන් කිහිපයක් හරහා ඇති සීමාවකි, එබැවින් එය පහත හෙළීම තනි පැතිකඩ පිළිගන්නා පරාසය පුළුල් කරයි. කුමන සේවාදායකයා එය ඉල්ලා සිටියාද සටහන් කර, ක්‍රියාකරු නවීන ද්‍රව්‍ය නැවත නිකුත් කළ පසු සැකසීම ඉවත් කරන්න. එහෙත් /etc/ssl/openssl.cnf වෙනස් කිරීම එම ගොනුව කියවන සෑම වැඩසටහනකටම එම සීමාවම ලබා දෙන අතර එය VPN ට වඩා බොහෝ ඉදිරියෙන් ය.

OpenVPN 2.6 සාකච්ඡාව සඳහා සයිෆර් ලැයිස්තුගත කිරීම අවශ්‍ය කරයි

Ubuntu 22.10 OpenVPN 2.6 ගෙන ආ අතර, එම නිකුතුවේ --cipher තවදුරටත් දත්ත චැනලය තමන්ම තෝරන්නේ නැත. සයිෆර් සාකච්ඡා කළ data-ciphers ලැයිස්තුවේ ද තිබිය යුතුය, එසේ නොමැති නම් සේවාලාභියා යල්පැන ගිය බවට අනතුරු ඇඟවීමක් මුද්‍රණය කර පසුව උමං මාර්ගය ඉහළ නැංවීමට අසාර්ථක වේ.

එම කාලයේ NetworkManager ප්ලගිනය තවමත් පැරණි නියෝගය පමණක් ලිවීය. මෙම විස්තරය රෝග නිර්ණය බෙදයි, මන්ද අතින් නිවැරදි කළ පැතිකඩක් shell එකකින් සම්බන්ධ විය හැකි අතර ඩෙස්ක්ටොප් ඇප්ලට් එකෙන් තවමත් අසාර්ථක විය හැක. ලැයිස්තුව සම්බන්ධතා ගොනුවට [vpn] යටතේ එකතු කරන්න:

data-ciphers=AES-256-CBC

සේවාදායකය ප්‍රකාශ කරන අගය භාවිත කරන්න, ඔබට මතක ඇති එක නොව; AES-256-GCM ලබා දෙන සේවාදායකයක් CBC පමණක් නම් කරන සේවාලාභී ලැයිස්තුවක් සමඟ සාකච්ඡා නොකරයි. කළමනාකරු නැවත ආරම්භ කර නැවත සම්බන්ධ වන්න, පසුව shell එකකින් උත්සාහය නැවත කරන්න, සයිෆර් සාකච්ඡාව සහ විකල්ප යන දෙකටම පැහැදිලිව ලබා දෙන්න:

sudo openvpn --config client.ovpn --data-ciphers AES-256-CBC --data-ciphers-fallback AES-256-CBC

එම විධානය උමං මාර්ගය ඉහළ නංවන්නේ නම්, සේවාදායකය, සහතික සහ අක්තපත්‍ර සියල්ල සුවපත් ය, ඉතිරි එකම දෝෂය කළමනාකරුගේ ගබඩා කළ විකල්පයයි. keysize නියෝගය පිළිබඳ අනතුරු ඇඟවීම ද එම පිරිසිදු කිරීමට අයත් වේ: එය අදහස් කර, මුල් ගොනුව පැතිකඩ අසල තබන්න.

පැකේජ සහ ප්ලගින් දෝෂ VPN දෝෂ මෙන් පෙනේ

උත්ශ්‍රේණියෙන් පසු සෑම අසාර්ථකත්වයක්ම ගුප්ත ලේඛනීය නොවේ. නිකුතුව භාවිත නොකරන කේත නාමයක් යටතේ එකතු කළ OpenVPN ගබඩාවක් කිසිදා ස්ථාපනය නොවන පැකේජයක් ලබා දෙයි, එබැවින් lsb_release -a වාර්තා කරන දෙය ඔබ එකතු කළ ලැයිස්තු ගොනුව සමඟ සසඳන්න. නැති වූ universe සංරචකයක් හෝ ආරක්ෂක සාක්කුවක් කිසිසේත් සොයා ගත නොහැකි පැකේජයක් ලබා දෙයි. අවස්ථා දෙකේදීම පැතිකඩ ස්පර්ශ නොවී ද උමං මාර්ගය අසාධ්‍ය ලෙස ද පවතී.

VPN ලොගයට පෙර පැකේජ කළමනාකරුගේ දෝෂය කියවන්න. සේවාලාභියා කිසිදා ස්ථාපනය නොකළේ නම්, පැතිකඩ සංස්කරණය කොපමණ කළත් අත් අල්ලන සිදුවීමක් ලැබෙන්නේ නැත.

ඇසීම නවත්වන ද්වි-සාධක පැතිකඩ එම කතාවේ ප්ලගින් අනුවාදයයි. අභියෝගය පැමිණෙන්නේ සත්‍යාපන ප්ලගිනයකිනි, එය ඉවත් කළ හෝ ප්‍රතිස්ථාපනය කළ උත්ශ්‍රේණිය පැතිකඩ නිරුපද්‍රිතව තබා ඉල්ලීම අතුරුදහන් කරයි. සම්බන්ධතාවය වැඩ කිරීමට දෙවන සාධකය මැකීම වෙනුවට ආධාරක ප්ලගිනය නැවත ස්ථාපනය කරන්න.

සැපයුම්කරු පුස්තකාලයක් ප්‍රතිපත්ති දෝෂයක් පිටුපස සැඟවිය හැක

එක් රටාවක් හඳුනා ගැනීම වටී, මන්ද එය සෑම ප්‍රතිපත්ති අලුත්වැඩියාවක්ම පරදවයි. දෘඩාංග සැපයුම්කරුවෙකුගේ වින්‍යාස මෙවලමකට තමන්ගේම OpenSSL පුස්තකාල ස්ථාපනය කර පූරකයේ සෙවුම් මාර්ගයේ පද්ධති පිටපත් ඉදිරියෙන් තැබිය හැක. එවිට සේවාලාභියා කිසිවෙකු උත්ශ්‍රේණි නොකළ පුස්තකාලයකට එරෙහිව ආරම්භ වන අතර, ආරම්භක දෝෂය ප්‍රතික්ෂේප කළ සහතිකයක් මෙන් හරියටම පෙනේ.

VPN පැකේජය නැවත ස්ථාපනය කිරීම කුමන පුස්තකාලය පළමුව සොයා ගන්නේ ද යන්න වෙනස් නොකරයි, TLS මට්ටම පහත හෙළීම පද්ධතියෙන් කිසිදා නොපැමිණි පුස්තකාලයකට ළඟා විය නොහැක. බයිනරිය සැබවින්ම විසඳන ගුප්ත වස්තු මොනවාදැයි පූරකයෙන් අසන්න:

ldd /usr/sbin/openvpn | grep -i -E 'ssl|crypto'

සැපයුම්කරුගේ පිටපත ඉවත් කරන්න හෝ නැවත යොමු කරන්න, පසුව එම පරීක්ෂාවම නැවත ධාවනය කරන්න. පැතිකඩ වෙත ආපසු යාමට පෙර අපේක්ෂිත අනුවාදය භාවිතයේ ඇති එක විය යුතුය.

පැරණි සේවාලාභියෙකු ඇමිණීම කාලය මිලදී ගනී, විසඳුමක් නොවේ

පෙර සේවාලාභී අනුවාදය රඳවා ගැනීම රැඳවීම පවතින තාක් උමං මාර්ගය ප්‍රතිසාධනය කරයි. එය එම පැකේජයේ ආරක්ෂක යාවත්කාලීන ද කැටි කර, ඊළඟ උත්ශ්‍රේණියට එම කැඩීමම සැලසුම් කරයි, එබැවින් එය විසඳුමක් නොව දින සහිත තාවකාලික පියවරක් ලෙස සලකන්න.

එසේ වුවත් එය ඇමිණුවහොත්, අධීක්ෂණය නොකළ උත්ශ්‍රේණියකට ඇමිණීම අවලංගු කළ නොහැකි වන පරිදි පැකේජය පැහැදිලිව රඳවා ගන්න, හේතුව සහ නැවත සලකා බැලීමේ දිනය ලියන්න, සහ සැපයුම්කරුගේ ඊළඟ පැතිකඩ නිකුතුව සඳහා මතක් කිරීමක් තබන්න. අවධානය යොමු කළ යුතු කොන්දේසිය වන්නේ වර්තමාන සයිෆර් සාකච්ඡා කරන සේවාදායක පැතිකඩකි; එය පවතින විට ඇමිණීමට කිසිදු සාධාරණීකරණයක් ඉතිරි නොවේ. ඊට වෙනස්ව, සටහන් නොකළ ඇමිණීමක් මාස හයකට පසු කිසිවෙකුට පැහැදිලි කළ නොහැකි බාධාවක් බවට පත් වේ, මන්ද එය යෙදූ පුද්ගලයා ඉවත්ව ගොස් ඇති අතර ගොනුව කිසිවක් සටහන් නොකරයි.

ඊළඟ වතාවේ නිකුතු උත්ශ්‍රේණියකින් පසු VPN මිය ගියහොත්, ප්‍රශ්න පහක් අනුපිළිවෙලින් අසන්න: කුමන ස්ථරය පළමු දෝෂය ලබා දුන්නේද, TLS ප්‍රතිපත්තිය සහතිකය ප්‍රතික්ෂේප කළේද, සයිෆර් දිශා දෙකෙන්ම සාකච්ඡා කළ හැකිද, පැකේජය සහ එහි ප්ලගිනය සැබවින්ම ස්ථාපනය වූයේද, සහ ක්‍රියාවලිය කුමන පුස්තකාලය පූරණය කරන්නේද. පහම පිරිසිදුව ආපසු ආ පසුව පමණක් අනුවාදය පහත හෙළීම අර්ථවත් වේ.