Javna konfiguracija VPN je prenehala delovati? Preberite stopnjo okvare
Preneseni profil opisuje enega gostitelja v enem dnevu. Preberite, katera trditev je padla, preverite potrdilo, ki ga predstavi druga stran, in nikoli ne izklopite preverjanja.
Profil je deloval v torek, v petek pa se odjemalec vrti trideset sekund in obupa. Na vašem računalniku se ni nič spremenilo. Prav to je poanta: prenesena konfiguracija opisuje enega gostitelja v enem trenutku, upravljavec na drugi strani pa ni dolžan tega opisa ohranjati resničnega. Skušnjava je, da začnete urejati varnostne nastavitve, dokler se tunel ne vrne. Prav ta instinkt privede do tega, da ljudje na koncu poganjajo profil z izklopljenim preverjanjem potrdil, kar je slabše kot nimanje tunela sploh.
Datoteka opisuje trenutek, ne pogodbe
Konfiguracijska datoteka je niz trditev: to ime gostitelja posluša na teh vratih s tem protokolom, predstavi potrdilo, ki ustreza temu imenu, in sprejme te poverilnice. Ko katera koli od njih preneha veljati, je datoteka zastarela in popravek spada na upravljavčevo stran meje, ne v vaše nastavitve.
Javni seznami vozlišč to zaradi svoje narave naredijo očitno. Vozlišča upravljajo prostovoljci, pojavljajo se in izginjajo, naslovi se reciklirajo, vrata pa blokira omrežje, za katerim so. Seznam je posnetek, ki se znova ustvari, kopija na vašem disku pa je fotografija starejšega posnetka.
Komercialne storitve se spreminjajo počasneje, a ne nikoli. Potrditveni organi se rotirajo, poslušalec se preseli z deljenega naslova na namenski, stari protokol se umakne in prispe nov seznam šifer. Vsaka od tega je nevidna, dokler se vaš odjemalec ne poskusi povezati in ne dobi drugačnega odgovora, kot ga datoteka pričakuje.
Preberite stopnjo okvare, preden se dotaknete nastavitve
Sporočilo o napaki pove, katera trditev je padla, in vsaka trditev ima popolnoma drugačno popravilo. Urejanje šifer, ko se ime gostitelja ne razreši več, zapravi popoldne in nikogar ničesar ne nauči.
| What happens | The assertion that broke | Supported response |
|---|---|---|
| Name never resolves | The host still exists under that name | Get a current endpoint from the operator |
| TCP connect times out | The listener is on that port and reachable | Check the current published port, then the local network |
| TLS or key exchange fails | The peer presents the expected identity | Compare the certificate, not the cipher list |
| Authentication rejected | The account is still valid | Get credentials reissued or stop using the service |
dig +short vpn.example.net
curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect}\n' --max-time 8 https://vpn.example.net:443/
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/nullSrednja vrstica loči blokirano pot od pokvarjenega rokovanja, tretja pa prikaže izdajatelja in datume veljavnosti potrdila, ki se dejansko predstavi. Če ta izdajatelj ni tisti, ki ga je profil pripel, se je potrdilo spremenilo in nobena možnost na strani odjemalca ne bo starega pripenjanja spet naredila pravilnega.
Spremembe potrdila in identitete so tihe
Večina okvar se napove sama. Spremembe identitete ne, ker bo odjemalec, ki pripne ime potrdila, zavrnil povsem dobro novo potrdilo s sporočilom, ki ga mnogi berejo kot hrošč. Tunel je v redu. Pripenjanje je zastarelo.
Preden karkoli sklepate, poiščite možnosti identitete:
grep -nE '^(remote|proto|auth|verify-x509-name|tls-crypt|key-direction|ca) ' profile.ovpn
openssl x509 -in profile-ca.crt -noout -subject -datesČe profil nosi vgrajen CA in je upravljavec prešel na nov organ, stara datoteka ne more potrditi novega strežnika. Zamenjava bloka CA s tistim, ki ga je objavil upravljavec, je legitimno popravilo. Brisanje direktive za preverjanje ni, in to so isti pritiski tipk z zelo drugačnim izidom.
Nadgradnja odjemalca lahko povzroči enak simptom brez kakršne koli spremembe pri upravljavcu. Možnosti, ki so bile tiho tolerirane, so zdaj zavrnjene, ali pa se odstrani zastarel protokol. To je meja združljivosti v vaši programski opremi in vredno je preizkusiti drugi profil z istim odjemalcem, preden krivite strežnik.
Samo upravljavec lahko objavi veljavno zamenjavo
Ko vozlišče izgine, mora zamenjava priti iz istega vira, ki je objavil izvirnik. Profil, ki prispe v neposrednem sporočilu, ker „uporablja isto ime strežnika“, je nepreverjena konfiguracija neznane strani, njegov uvoz pa tej strani da nadzor nad vašim usmerjanjem.
Preverjanje je poceni. Pridobite trenutno datoteko z objavljenega mesta, primerjajte končno točko in protokol s seznamom ter potrdite prstni odtis gradiva CA, namesto da zaupate imenu datoteke:
curl -sS -o current.ovpn https://example.org/nodes/current.ovpn
sha256sum current.ovpn profile.ovpn
grep -nE '^(remote|proto) ' current.ovpnČe se dva hasha razlikujeta le v presledkih, imate spremembo oblikovanja. Če se razlikujeta v končnih točkah, je upravljavec nekaj premaknil in objavljena datoteka je avtoriteta. Če je objavljena datoteka starejša od vaše, verjetno gledate predpomnilnik in zastarel odgovor vas bo poslal v napačno smer.
Umaknite stari vnos in zapišite, kaj se je zgodilo
Ko je delujoča zamenjava preverjena, izbrišite stari profil, namesto da bi ga obdržali kot rezervo. Zastarel vnos, ki se napol poveže, je past: izbran bo med izpadom, počasi bo odpovedal in tisti, ki razhroščuje, bo prvih deset minut preživel ob napačni datoteki.
Vodite kratek zapis zunaj konfiguracije: datum, staro končno točko, stopnjo okvare in kaj jo je nadomestilo. Javna vozlišča se menjajo in šest tednov pozneje pride isto vprašanje z drugo osebo. Ena vrstica v datoteki z zapiski nanj odgovori v sekundah.
Če iz enega omrežja vsako vozlišče odpove na enak način in iz drugega nobeno, prenehajte urejati profile in poglejte lokalno pot. Ujeta stran, filtriran obseg vrat ali prestrezni posrednik bodo ustvarili enake napake pri nepovezanih ponudnikih, in prav ta vzorec je edini signal, da težava nikoli ni bila datoteka.