Týka sa tá oprava zabezpečenia OpenVPN vôbec vašej inštalácie?

Rada záplatovať klienta, aby overoval certifikáty, je príliš vágna na to, aby ste podľa nej konali. Môže opisovať opravenú softvérovú chybu, starý build od jedného poskytovateľa alebo profil, ktorý kontrolu nikdy nežiadal. To sú tri rôzne zmeny s tromi rôznymi vlastníkmi. Konať podľa tej vety bez toho, aby ste vedeli, s ktorou sa stretávate, je spôsob, akým sa funkčný klient bezdôvodne upraví.

Oddeľte tri tvrdenia

Softvérová chyba má bezpečnostné oznámenie, postihnuté verzie a opravené vydanie. Build poskytovateľa má vlastný distribučný kanál a vlastné tempo aktualizácií. Vynechanie v profile nemá ani jedno, pretože spustiteľný súbor je v poriadku a konfigurácia žiada menej, než ste predpokladali. Kým tvrdenie nepomenuje jednu z tých troch, nie je čo testovať.

Pred hľadaním napíšte tvrdenie jednou vetou. Ak veta nedokáže pomenovať, čo je pokazené, hľadanie nemá cieľ a každý výsledok vyzerá relevantne.

Nájdite spustiteľný súbor, ktorý skutočne beží

Predtým, než sa pozriete na akúkoľvek verziu, určite, čo spúšťa spojenie. Distribučná služba, desktopový plugin a aplikácia dodávateľa môžu každý používať iný spustiteľný súbor alebo engine. Verzia vypísaná ktoroukoľvek binárkou, ktorá sa ocitne v ceste hľadania shellu, nie je inventárom stroja. Prečítajte si unit alebo proces, ktorý spojenie skutočne vykonal.

systemctl cat openvpn-client@*.service
ps -o pid,cmd -C openvpn
apt-cache policy openvpn network-manager-openvpn

Dopyt na balík hlási, čo miestne metadáta považujú za nainštalované a dostupné, a táto vyrovnávacia pamäť môže byť zastaraná, preto ju najprv obnovte. Tiež nič nehovorí o tom, či bežiaca služba načítala binárku nainštalovanú pred piatimi minútami. Porovnajte záznam balíka s procesom, ktorý je skutočne pripojený.

Dôkazy z balíka namiesto dojmov z verzie

Bezpečnostná údržba distribúcií často backportuje opravy, takže staršia upstream verzia môže záplatu stále obsahovať. Platí to aj naopak: balík z neznámeho repozitára nemá automatický nárok na aktuálnu údržbu. Čítajte stav podpory vydania, nie číslo verzie.

Ten rozdiel je rozdiel medzi skutočnou medzerou a číslom, ktoré len vyzerá staro. Zaznamenajte repozitár, z ktorého balík prišiel, pretože ten istý reťazec verzie môže doraziť veľmi rozdielnymi kanálmi s veľmi rozdielnou podporou.

Konfigurácia je druhá polovica

Udržiavaný spustiteľný súbor stále potrebuje profil, ktorý vyžaduje kontroly, ktoré považujete za zavedené. Dôveryhodná kotva, zamýšľaná úloha protistrany a očakávané meno servera sú súvisiace, ale oddelené rozhodnutia. Kontrola úlohy nie je kontrola mena a ani jedna nenahrádza druhú. Ak sa varovanie týka konfigurácie, oprava patrí tomu, kto profil vlastní.

Neinštalujte svojvoľnú záplatu, aby ste kompenzovali neoverený profil, a nepridávajte direktívu, aby ste opravili skutočnú chybu implementácie. Obe chyby vyzerajú ako pokrok, preto sa obe stále dejú.

Rozhodujte podľa dôkazov v zázname

Rozhodnutie vyplýva z toho, čo ste zistili. Zdokumentovaný postihnutý balík vyžaduje svoju podporovanú aktualizáciu, nepodporovaná platforma potrebuje migračnú cestu a klientská aplikácia poskytovateľa potrebuje pokyny toho poskytovateľa. Nejednoznačný pokyn potrebuje oznámenie a postihnutý komponent, kým sa čokoľvek z toho použije.

Držte aktívneho klienta, plnú verziu, oznámenie a vlastníka profilu spolu v zázname zmien. To je silnejšie ako odkaz na návod a je to to, čo bude ďalší človek skutočne potrebovať.