Застарели редови шифре у старим VPN профилима: прочитајте пре копирања

Овај профил потиче из 2016 и још се увози и још се повезује. Управо зато нико не гледа у њега. Клијент који је некада читао ове директиве одавно је нестао, а тренутна верзија неке од њих може тумачити другачије.

То што је датотека преживела не значи да је конфигурација актуелна. Раздвајање те две идеје је већи део посла.

Сазнајте који је клијент написао профил

Почните од издавача и верзије. Значење директиве дефинише имплементација која је чита. Ред који је некада бирао алгоритам може постати резервна листа, упозорење или тврда грешка. Које издање је тумачи одлучује исход.

OpenVPN је најјаснији пример. Верзија 2.5 увела је data-ciphers и променила како старија директива cipher учествује у преговорима. Профил који носи само cipher AES-128-CBC сада даје много ужу понуду него што је аутор намеравао.

Прочитајте напомене о издању за поставку која сада упозорава или не успева. Упозорење у дневнику је чињеница о тренутној верзији и важније је од било чијег сећања на то зашто је ред додат.

Погледајте шта је заправо договорено

Успешан увоз доказује тумачење, не политику. Договорени резултат се појављује у дневнику клијента након успостављања везе. Може се разликовати од оба краја конфигурационе датотеке.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

Прихваћени увоз који тихо одбацује директиву оставља профил који се чита на један начин, а понаша на други. Тај јаз објашњава како документ означен као ојачан договара нешто слабије него што тврди његов сопствени текст. Дневник је једино место где се разлика види. Прочитајте га пре него што поверујете датотеци.

Надоградите распоред, не ред

Узмите профил који одржава оператер уместо састављања назива алгоритама док се увоз не престане жалити. Додавање редова покушајем окреће смер поправке. Оно прилагођава клијент непознатом серверу уместо да утврди шта сервер подржава.

Серверу може требати и усклађена надоградња. Тренутни клијент не може створити подршку за понуду коју друга страна никада не нуди. Ниједна опција на страни клијента не замењује мрежни пролаз који није ажуриран.

Оно што се не сме жртвовати јесте провера. Уклањање провера сертификата, искључивање провере имена хоста или искључивање ажурирања да би стари профил остао жив претвара проблем компатибилности у проблем поверења. То се обично дешава по једна мала измена.

Потврдите резултат и забележите изузетак

Након промене поново прегледајте договорени скуп и тестирајте ресурс због којег тунел постоји. Профил који договори оно што сте намеравали и још не достигне услугу има проблем са усмеравањем или идентитетом. Нема криптографски проблем.

Држите претходну проверену конфигурацију на заштићеном месту. Поређење је могуће само док стара датотека још постоји.

Документујте сваки изузетак компатибилности са власником и датумом прегледа. Привремено решење без власника постаје трајна политика. Следећа особа која прочита датотеку претпоставиће да је изабрано намерно.