Verejná konfigurácia VPN prestala fungovať? Prečítajte si fázu zlyhania
Stiahnutý profil opisuje jeden host v jednom dni. Prečítajte si, ktoré tvrdenie prestalo platiť, skontrolujte certifikát, ktorý predkladá druhá strana, a nikdy nevypínajte overovanie.
Profil fungoval v utorok a v piatok sa klient točí tridsať sekúnd a vzdá to. Na vašom počítači sa nič nezmenilo. A presne o to ide: stiahnutá konfigurácia opisuje jeden host v jednom okamihu a operátor na druhej strane nie je povinný udržiavať ten opis pravdivý. Pokušenie je začať upravovať bezpečnostné nastavenia, kým sa tunel nevráti. Práve tento inštinkt vedie k tomu, že ľudia skončia s profilom s vypnutým overovaním certifikátov, čo je horšie než nemať žiadny tunel.
Súbor opisuje okamih, nie zmluvu
Konfiguračný súbor je súbor tvrdení: toto meno hostiteľa načúva na tomto porte s týmto protokolom, predkladá certifikát zodpovedajúci tomuto menu a prijíma tieto prihlasovacie údaje. Keď ktorékoľvek z nich prestane platiť, súbor je zastaraný a oprava patrí na stranu operátora za hranicou, nie do vášho nastavenia.
Verejné zoznamy uzlov to svojou povahou robia zjavným. Uzly prevádzkujú dobrovoľníci, objavujú sa a miznú, adresy sa recyklujú a porty blokuje sieť, za ktorou sa nachádzajú. Zoznam je snímka, ktorá sa znova generuje, a kópia na vašom disku je fotografia staršej snímky.
Komerčné služby sa menia pomalšie, ale nie nikdy. Certifikačné autority sa rotujú, poslucháč sa presúva zo zdieľanej adresy na vyhradenú, starý protokol sa vyraďuje a prichádza nový zoznam šifier. Každé z toho je neviditeľné, kým sa váš klient nepokusí pripojiť a nedostane inú odpoveď, než súbor očakáva.
Prečítajte si fázu zlyhania, než sa dotknete nastavenia
Chybová správa hovorí, ktoré tvrdenie zlyhalo, a každé tvrdenie má úplne inú opravu. Upravovať šifry, keď sa meno hostiteľa už neprekladá, stratí popoludnie a nikoho nič nenaučí.
| What happens | The assertion that broke | Supported response |
|---|---|---|
| Name never resolves | The host still exists under that name | Get a current endpoint from the operator |
| TCP connect times out | The listener is on that port and reachable | Check the current published port, then the local network |
| TLS or key exchange fails | The peer presents the expected identity | Compare the certificate, not the cipher list |
| Authentication rejected | The account is still valid | Get credentials reissued or stop using the service |
dig +short vpn.example.net
curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect}\n' --max-time 8 https://vpn.example.net:443/
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/nullProstredný riadok oddeľuje zablokovanú cestu od pokazeného handshake a tretí ukazuje vydavateľa a dátumy platnosti certifikátu, ktorý sa skutočne predkladá. Ak tento vydavateľ nie je ten, ktorý profil pripol, certifikát sa zmenil a žiadna voľba na strane klienta neurobí starý pin znova správnym.
Zmeny certifikátu a identity sú tie tiché
Väčšina zlyhaní sa ohlasuje sama. Zmeny identity nie, pretože klient, ktorý pripína meno certifikátu, odmietne úplne dobrý nový certifikát so správou, ktorú mnohí čítajú ako chybu v softvéri. Tunel je v poriadku. Pin je zastaraný.
Než čokoľvek uzavriete, hľadajte voľby identity:
grep -nE '^(remote|proto|auth|verify-x509-name|tls-crypt|key-direction|ca) ' profile.ovpn
openssl x509 -in profile-ca.crt -noout -subject -datesAk profil nesie vloženú CA a operátor prešiel na novú autoritu, starý súbor nemôže overiť nový server. Nahradiť blok CA tým, ktorý operátor zverejnil, je legitímna oprava. Zmazať direktívu overovania nie je, a sú to tie isté údery s veľmi odlišným výsledkom.
Aktualizácia klienta môže vyvolať rovnaký príznak bez akéhokoľvek zmeny u operátora. Voľby, ktoré boli ticho tolerované, sa teraz odmietajú, alebo sa odstraňuje zastaraný protokol. To je limit kompatibility vo vašom softvéri a stojí za to vyskúšať druhý profil s tým istým klientom, než obviníte server.
Platnú náhradu môže zverejniť iba operátor
Keď uzol zmizne, náhrada musí prísť z toho istého zdroja, ktorý zverejnil originál. Profil, ktorý dorazí v priamej správe, pretože „používa rovnaké meno servera“, je neoverená konfigurácia od neznámej strany, a jeho import dá tej strane kontrolu nad vaším smerovaním.
Kontrola je lacná. Stiahnite aktuálny súbor zo zverejneného miesta, porovnajte koncový bod a protokol so zoznamom a potvrďte odtlačok materiálu CA namiesto toho, aby ste dôverovali názvu súboru:
curl -sS -o current.ovpn https://example.org/nodes/current.ovpn
sha256sum current.ovpn profile.ovpn
grep -nE '^(remote|proto) ' current.ovpnAk sa dva hashe líšia iba v bielych znakoch, máte zmenu formátovania. Ak sa líšia v koncových bodoch, operátor niečo presunul a zverejnený súbor je autoritou. Ak je zverejnený súbor starší než ten, ktorý máte, pravdepodobne sa pozeráte do vyrovnávacej pamäte a zastaraná odpoveď vás pošle nesprávnym smerom.
Vyraďte starý záznam a zapíšte, čo sa stalo
Keď je overená funkčná náhrada, vymažte starý profil, namiesto toho, aby ste ho držali ako rezervu. Zastaraný záznam, ktorý sa napoly pripája, je pasca: bude vybraný počas výpadku, bude zlyhávať pomaly a ten, kto ladí, strávi prvých desať minút pri nesprávnom súbore.
Veďte krátky záznam mimo konfigurácie: dátum, starý koncový bod, fázu zlyhania a čo ho nahradilo. Verejné uzly sa menia a o šesť týždňov prichádza tá istá otázka s iným človekom. Jeden riadok v poznámkovom súbore na ňu odpovie za sekundy.
Ak z jednej siete zlyhá každý uzol rovnako a z inej žiadny, prestaňte upravovať profily a pozrite sa na lokálnu cestu. Captive portál, filtrovaný rozsah portov alebo zachytávajúca proxy vytvoria rovnaké chyby u nesúvisiacich poskytovateľov, a práve tento vzorec je jediným signálom, že problém nikdy nebol v súbore.