Грешка слабог шифровања vpnc: политика пролаза или поправка на радној површини?

Две поправке изгледају једнако брзе када стара vpnc веза одбија да се успостави: прослеђивање старе заставице слабог шифровања или убацивање омотачке скрипте која је додаје уместо вас. Оне нису еквивалентне, јер једна мења политику једног профила, а друга понашање сваког програма који позива ту путању. Прво питање је да ли пролаз још нуди слабу понуду, а друго ко сме да је прихвати. Све остало следи из та два одговора.

Две поправке врло различитог домашаја

Промена на нивоу профила дотиче једну везу, једног власника и један датум истека. Замена инсталираног бинарног фајла дотиче сваки фронтенд на машини, укључујући десктоп аплет који колега користи за сасвим други профил пролаза. Омотач такође скрива промену од свакога ко буде отклањао проблеме на хосту шест месеци касније.

Провера пакета је прва жртва: фајл на /usr/sbin/vpnc који више не одговара свом пакету претвара рутинско безбедносно ажурирање у истрагу. Ажурирања тада или тихо преписују омотач, или одбијају да се примене, зависно од тога како управник пакета третира измењене фајлове. Ниједан исход се не појављује у дневнику везе, зато приступ са омотачем остаје привлачан све до првог инцидента. Један ред у профилу је далеко лакше пронаћи и уклонити него бинарни фајл за који се нико не сећа да га је заменио.

Шта застарели прекидач заправо ради

vpnc приручник означава опцију појединачног DES-а као застарелу у корист поставке слабог шифровања и документује засебну опцију која допушта никакво шифровање податковног саобраћаја. То су различити уступци са различитим последицама. Ниједан од њих не тера модеран пролаз да преговара о нечему што више не нуди.

Прочитајте фазу неуспеха пре него што одаберете поправку. Одбијена понуда и одбијена лозинка дају сличне поруке фронтенда, али потпуно различите доказе.

Где припада ограничени изузетак

Ако организација свесно прихвата стари партнер на ограничено време, изузетак припада профилу тог партнера, са власником, датумом прегледа и путем миграције на подржани протокол. Држати га изван глобалне путање и јесте цео смисао назива ограничен.

Нека власник пролаза потврди које алгоритме партнер још предлаже и шта га замењује. Клијентска заставица не може поправити понуду коју сервер више не шаље, а миграција сервера коју нико није заказао надживеће привремено решење. Ставите датум прегледа у исти тикет као изузетак, да уступак истекне уместо да постане трајан.

Проверите преговоре, не само зелену икону

Прикупљајте доказе који идентификују фазу, а не расположење дијалога. Наредбе испод су само за читање, а прве две показују која су конфигурација и верзија заиста у употреби.

vpnc --version
vpnc --print-config /etc/vpnc/legacy.conf
dpkg -V vpnc
grep -n -E 'weak|1des|no-encryption' /etc/vpnc/legacy.conf

Трећа наредба пријављује фајлове који више не одговарају пакету, и тако се заборављени омотач сам најављује. Четврта показује уступке које профил носи, да се изузетак не може тихо проширити на други профил преко копираног фајла. Покрените обе пре и после промене и чувајте излаз уз профил везе, а не у прозору за ћаскање.

Држите debug излаз изван тикета док га неко не прочита, јер приручник упозорава да највиши ниво debug-а избацује аутентификационе податке, укључујући лозинке. Критеријум прихватања је одобрен, подржан споразум између клијента и пролаза, а не ставка менија која коначно постане зелена. Ако партнер нуди само покварен алгоритам, искрен исход је изузетак са крајњим датумом или заменски протокол, а та одлука припада ономе ко поседује пролаз. Записивање одлуке је разлика између управљаног изузетка и случајне промене политике.