Zastarele vrstice šifriranja v starih profilih VPN: preberite pred kopiranjem

Ta profil je bil napisan leta 2016 in se še vedno uvaža in še vedno povezuje. Prav zato ga nihče ne pogleda. Odjemalec, ki je nekoč bral te direktive, je že zdavnaj izginil, trenutna različica pa lahko nekatere od njih razlaga drugače.

To, da je datoteka preživela, ne pomeni, da je konfiguracija aktualna. Ločevanje teh dveh idej je večina dela.

Ugotovite, kateri odjemalec je napisal profil

Začnite pri izdajatelju in različici. Pomen direktive določa izvedba, ki jo bere. Vrstica, ki je nekoč izbirala algoritem, lahko postane rezervni seznam, opozorilo ali trda napaka. Katera izdaja jo razlaga, odloči izid.

OpenVPN je najjasnejši primer. Različica 2.5 je uvedla data-ciphers in spremenila, kako starejša direktiva cipher sodeluje v pogajanjih. Profil, ki nosi samo cipher AES-128-CBC, zdaj ponuja veliko ožji predlog, kot je nameraval njegov avtor.

Preberite opombe ob izdaji za nastavitev, ki zdaj opozarja ali spodleti. Opozorilo v dnevniku je dejstvo o trenutni izdaji in tehta več kot spomin kogar koli na to, zakaj je bila vrstica dodana.

Poglejte, kaj je bilo dejansko dogovorjeno

Uspešen uvoz dokazuje razčlenjevanje, ne politike. Dogovorjeni rezultat se pojavi v dnevniku odjemalca, ko se povezava vzpostavi. Lahko se razlikuje od obeh koncev konfiguracijske datoteke.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

Sprejet uvoz, ki tiho zavrže direktivo, pusti profil, ki se bere na en način in se obnaša na drugega. Prav ta vrzel pojasnjuje, kako dokument, označen kot utrjen, dogovori nekaj šibkejšega, kot trdi njegovo lastno besedilo. Dnevnik je edino mesto, kjer se razlika pokaže. Preberite ga, preden datoteki zaupate.

Nadgradite ureditev, ne vrstice

Vzemite profil, ki ga vzdržuje operater, namesto sestavljanja imen algoritmov, dokler se uvoz ne neha pritoževati. Dodajanje vrstic s poskušanjem obrne smer popravka. Odjemalca prilagodi neznanemu strežniku, namesto da bi ugotovilo, kaj strežnik podpira.

Tudi strežnik bo morda potreboval usklajeno nadgradnjo. Trenutni odjemalec ne more ustvariti podpore za predlog, ki ga druga stran nikoli ne ponudi. Nobena možnost na strani odjemalca ne nadomesti prehoda, ki ni bil posodobljen.

Čemur se ne sme odreči, je preverjanje. Odstranjevanje preverjanj potrdil, izklop preverjanja imena gostitelja ali izklop posodobitev, da bi stari profil ostal živ, spremeni težavo združljivosti v težavo zaupanja. Običajno se to zgodi po ena majhna sprememba naenkrat.

Potrdite rezultat in zapišite izjemo

Po spremembi znova pregledjte dogovorjeni nabor in preizkusite vir, za katerega obstaja tunel. Profil, ki se dogovori za to, kar ste nameravali, in vseeno ne doseže storitve, ima težavo z usmerjanjem ali identiteto. Kriptografske težave nima.

Hranite prejšnjo preverjeno konfiguracijo na zaščitenem mestu. Primerjava je mogoča le, dokler stara datoteka še obstaja.

Dokumentirajte vsako izjemo glede združljivosti z lastnikom in datumom pregleda. Začasna ureditev, ki je nihče ne lasti, postane trajna politika. Naslednja oseba, ki bo prebrala datoteko, bo domnevala, da je bila izbrana namerno.