Zastarané riadky šifier v starých profiloch VPN: prečítajte si pred kopírovaním

Tento profil bol napísaný v roku 2016 a stále sa importuje a stále sa pripája. Práve preto sa naň nikto nepozerá. Klient, ktorý tieto direktívy kedysi čítal, je dávno preč, a súčasné zostavenie môže niektoré z nich vykladať inak.

To, že súbor prežil, neznamená, že konfigurácia je aktuálna. Rozdelenie týchto dvoch predstáv je väčšina práce.

Zistite, ktorý klient profil napísal

Začnite u vydavateľa a verzie. Význam direktívy určuje implementácia, ktorá ju číta. Riadok, ktorý kedysi vyberal algoritmus, sa môže stať záložným zoznamom, varovaním alebo tvrdou chybou. Ktoré vydanie ho vykladá, rozhoduje výsledok.

OpenVPN je najjasnejší príklad. Verzia 2.5 zaviedla data-ciphers a zmenila, ako sa staršia direktíva cipher zúčastňuje rokovaní. Profil, ktorý nesie len cipher AES-128-CBC, teraz ponúka omnoho užší návrh, než zamýšľal jeho autor.

Prečítajte si poznámky k vydaniu pre nastavenie, ktoré teraz varuje alebo zlyháva. Varovanie v logu je fakt o súčasnom zostavení a váži viac než kohokoľvek spomienka na to, prečo bol riadok pridaný.

Pozrite sa, čo sa skutočne vyjednalo

Úspešný import dokazuje parsovanie, nie politiku. Vyjednaný výsledok sa objaví v logu klienta po nadviazaní spojenia. Môže sa líšiť od oboch koncov konfiguračného súboru.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

Prijatý import, ktorý ticho zahodí direktívu, zanechá profil, ktorý sa číta jedným spôsobom a správa sa iným. Práve touto medzerou dokument označený ako spevnený vyjedná niečo slabšie, než tvrdí jeho vlastný text. Log je jediné miesto, kde sa rozdiel ukáže. Prečítajte si ho, kým súboru uveríte.

Aktualizujte usporiadanie, nie riadok

Vezmite profil, ktorý udržiava operátor, namiesto skladania názvov algoritmov, kým si import neprestane sťažovať. Pridávanie riadkov pokusom obracia smer opravy. Prispôsobuje klienta neznámemu serveru namiesto toho, aby zistilo, čo server podporuje.

Server môže potrebovať aj koordinovanú aktualizáciu. Súčasný klient nedokáže vytvoriť podporu pre návrh, ktorý druhá strana nikdy neponúka. Žiadna voľba na strane klienta nenahradí bránu, ktorá nebola aktualizovaná.

To, čo sa nesmie obetovať, je overovanie. Odstraňovanie kontrol certifikátov, vypínanie kontroly názvu hostiteľa alebo vypínanie aktualizácií, aby starý profil zostal živý, mení problém kompatibility na problém dôvery. Zvyčajne sa to deje po jednej malej úprave.

Potvrďte výsledok a zaznamenajte výnimku

Po zmene znova prehliadnite vyjednanú sadu a otestujte zdroj, kvôli ktorému tunel existuje. Profil, ktorý vyjedná to, čo ste zamýšľali, a napriek tomu nedosiahne službu, má problém s routovaním alebo identitou. Kryptografický problém nemá.

Uchovajte predchádzajúcu osvedčenú konfiguráciu na chránenom mieste. Porovnanie je možné len dovtedy, kým starý súbor ešte existuje.

Zdokumentujte každú výnimku kompatibility s vlastníkom a dátumom revízie. Dočasné opatrenie, ktoré nikomu nepatrí, sa stane trvalou politikou. Ďalší človek, ktorý súbor prečíta, bude predpokladať, že bolo zvolené zámerne.