Ubuntu மேம்பாட்டிற்குப் பிறகு OpenVPN ஏன் இணைப்பை நிறுத்தியது?

கடந்த வாரம் வேலை செய்த VPN சுயவிவரங்கள் Ubuntu வெளியீட்டு மேம்பாட்டிற்குப் பிறகு உடைகின்றன, மேலும் பதிவு மேம்பாட்டை அரிதாகவே குறிப்பிடுகிறது. அது பெயரிடுவது தோல்வியடைந்த அடுக்கை: TLS கைக்குலுக்கல், தரவு சேனலுக்கு பேச்சுவார்த்தை செய்யப்பட்ட சைஃபர், நிறுவப்பட்ட தொகுப்பு, அல்லது இயக்கப்படும்போது பைனரி ஏற்றும் OpenSSL நகல். ஒவ்வொரு அடுக்குக்கும் அதன் சொந்த பிழை வடிவமும் சொந்த பழுதுநீக்கமும் உள்ளன, எனவே வகைப்படுத்தல் முதல் வேலை, திருத்தம் இரண்டாவது. பதிவு அதைப் பெயரிடும் வரை சுயவிவரத்தை குற்றமற்றதாகக் கருதுங்கள்.

எந்த அடுக்கு தோல்வியடைந்தது: கைக்குலுக்கல், சைஃபர், தொகுப்பு அல்லது நூலகம்

சுயவிவரத்தைத் தொடும் முன் கிளையண்ட் பதிவைப் படியுங்கள். வெளியீட்டில் உள்ள முதல் பிழை அடுக்கை அடையாளம் காட்டுகிறது; அதற்குப் பிறகு அச்சிடப்படுவதெல்லாம் பொதுவாக அந்த முதல் தோல்வியின் விளைவே. கிளையண்ட் அறவே தொடங்கவில்லை என்றால், VPN பதிவு திறக்கத் தவறான கோப்பு.

சான்றிதழ்கள் மற்றும் கையொப்பங்கள் பற்றிய புகார்கள், அல்லது விசையின் நீளம் பற்றிய செய்தி, கட்டுப்பாட்டு சேனலிலிருந்தும் அதை ஒழுங்குபடுத்தும் நூலகக் கொள்கையிலிருந்தும் வருகின்றன. ஆனால் DEPRECATED OPTION எனத் தொடங்கும் எச்சரிக்கை தரவு சேனல் பேச்சுவார்த்தைக்கு உரியது.

இத்தகைய வரி Unrecognized option மூன்றாவது வகை: புதிய பைனரி பழையது பொறுத்த ஆணையை இனி ஏற்காது, எனவே நூலகத்தைத் தளர்த்துவதற்குப் பதிலாக சுயவிவரத்தை மீண்டும் எழுத வேண்டும். தொகுப்பு தோல்விகள் மீண்டும் வேறாகத் தெரிகின்றன, ஏனெனில் அவை எந்தச் சுரங்கக் குறியீடும் இயங்கும் முன் நிகழ்கின்றன. காணாமல் போன பைனரி, ஏற்றப்படாத செருகுநிரல், அல்லது தவறான குறியீட்டுப் பெயரைச் சுட்டும் களஞ்சியம் — அனைத்தும் அந்த வடிவத்தைத் தருகின்றன. நான்கு அறிகுறிகள், பார்க்க நான்கு இடங்கள், பழுதுநீக்கங்களுக்கு இடையே கிட்டத்தட்ட எந்த மேலோட்டமும் இல்லை.

கைக்குலுக்கல் தோல்வியடையும்போது, TLS கொள்கை சான்றிதழை நிராகரிக்கிறது

Ubuntu 22.04 கணினியை OpenSSL 3 க்கு நகர்த்தியது, அந்தக் கிளையின் இயல்புநிலை பாதுகாப்பு நிலை சான்றிதழ் கையொப்பங்கள் மற்றும் விசை அளவுகளில் 20.04 ஐ விடக் கடுமையானது. பழைய டைஜெஸ்ட்டால் கையொப்பமிடப்பட்ட CA சான்றிதழ், அல்லது தற்போதைய வரம்புக்குக் கீழேயுள்ள விசை, இப்போது கைக்குலுக்கலின்போது தோல்வியடைகின்றன. இன்னும் எதுவும் அங்கீகரிக்கப்படாததால், பிழை தவறான கடவுச்சொல் அல்லது இறந்த சேவையகம் போலப் படிக்கப்படுகிறது.

குறுகிய பழுதுநீக்கம் இந்த இணைப்புக்கு மட்டும் ஒரு சைஃபர் சரத்தை இணைக்கிறது. டெஸ்க்டாப் திருத்தியில் சுயவிவரத்தைத் திறந்து, மேம்பட்ட அமைப்புகளுக்குச் சென்று, DEFAULT:@SECLEVEL=0 ஐ TLS சைஃபர் புலத்தில் வையுங்கள். NetworkManager விசை-கோப்பு [vpn] இன் கீழ் அதே மதிப்பை எடுக்கிறது:

[vpn]
tls-cipher=DEFAULT:@SECLEVEL=0

NetworkManager ஐ மீண்டும் தொடங்கி மீண்டும் இணையுங்கள், ஏனெனில் டீமன் பாகுபடுத்தப்பட்ட சுயவிவரங்களை தற்காலிகச் சேமிப்பில் வைத்திருக்கும், இல்லையெனில் ஏற்கனவே வைத்திருக்கும் நகலைத் தொடர்ந்து பயன்படுத்தும். வரியை வைத்திருக்கும் முன் அது என்ன செய்கிறது என்பதை அறியுங்கள்: அந்த அமைப்பு சைஃபரின் பெயர் அல்ல, பல சான்றிதழ் மற்றும் விசை அளவுருக்கள் மீதான வரம்பு, எனவே அதைக் குறைப்பது ஒற்றை சுயவிவரம் ஏற்கும் எல்லையை விரிவாக்குகிறது. எந்தச் சேவையகம் அதைக் கோரியது எனக் குறித்து, இயக்குபவர் தற்போதைய பொருளை மீண்டும் வெளியிட்டதும் அமைப்பை விடுங்கள். ஆனால் /etc/ssl/openssl.cnf ஐ மாற்றுவது அந்தக் கோப்பைப் படிக்கும் ஒவ்வொரு நிரலுக்கும் அதே வரம்பை எட்டுகிறது, இது VPN ஐ விட மிகத் தொலைவில் உள்ளது.

OpenVPN 2.6 பேச்சுவார்த்தைக்கு சைஃபர் பட்டியலிடப்பட வேண்டும் எனக் கேட்கிறது

Ubuntu 22.10 OpenVPN 2.6 ஐக் கொண்டு வந்தது, அந்த வெளியீட்டில் --cipher தானாகவே தரவு சேனலைத் தேர்ந்தெடுப்பதை நிறுத்துகிறது. சைஃபர் பேச்சுவார்த்தை செய்யப்பட்ட data-ciphers பட்டியலிலும் இருக்க வேண்டும், இல்லையெனில் கிளையண்ட் வழக்கொழிந்த எச்சரிக்கையை அச்சிட்டு பின்னர் சுரங்கத்தை மேலே எழுப்ப முடியாது.

அதே காலகட்டத்தின் NetworkManager செருகுநிரல் இன்னும் பழைய ஆணையை மட்டுமே எழுதியது. இந்த விவரம் கண்டறிதலைப் பிரிக்கிறது, ஏனெனில் கையால் திருத்தப்பட்ட சுயவிவரம் ஷெல்லில் இருந்து இணைக்க முடியும், டெஸ்க்டாப் ஆப்லெட்டில் இருந்து இன்னும் தோல்வியடையலாம். பட்டியலை இணைப்புக் கோப்பில் [vpn] இன் கீழ் சேர்க்கவும்:

data-ciphers=AES-256-CBC

சேவையகம் அறிவிக்கும் மதிப்பைப் பயன்படுத்துங்கள், நீங்கள் நினைவில் வைத்திருப்பதை அல்ல; AES-256-GCM வழங்கும் சேவையகம் CBC மட்டும் பெயரிடும் கிளையண்ட் பட்டியலுடன் பேச்சுவார்த்தை நடத்தாது. மேலாளரை மீண்டும் தொடங்கி மீண்டும் இணையுங்கள், பின்னர் ஷெல்லில் இருந்து முயற்சியை மீண்டும் செய்து, சைஃபரை பேச்சுவார்த்தை மற்றும் மாற்று இரண்டிற்கும் வெளிப்படையாகக் கொடுங்கள்:

sudo openvpn --config client.ovpn --data-ciphers AES-256-CBC --data-ciphers-fallback AES-256-CBC

அந்தக் கட்டளை சுரங்கத்தை மேலே எழுப்பினால், சேவையகம், சான்றிதழ்கள் மற்றும் அடையாளச் சான்றுகள் அனைத்தும் ஆரோக்கியமானவை, மீதமுள்ள ஒரே குறை மேலாளரின் சேமிக்கப்பட்ட விருப்பமே. keysize ஆணை பற்றிய எச்சரிக்கை அதே சுத்தம் செய்வதற்கு உரியது: அதைக் கருத்துரையாக்கி, அசல் கோப்பை சுயவிவரத்தின் அருகில் வைத்திருங்கள்.

தொகுப்பு மற்றும் செருகுநிரல் குறைகள் VPN குறைகள் போலத் தெரிகின்றன

மேம்பாட்டிற்குப் பிறகு ஒவ்வொரு தோல்வியும் மறையீட்டு எழுத்து சார்ந்தது அல்ல. வெளியீடு பயன்படுத்தாத குறியீட்டுப் பெயரின் கீழ் சேர்க்கப்பட்ட OpenVPN களஞ்சியம் ஒருபோதும் நிறுவப்படாத தொகுப்பைத் தருகிறது, எனவே lsb_release -a என்ன தெரிவிக்கிறது என்பதை நீங்கள் சேர்த்த பட்டியல்-கோப்புடன் ஒப்பிடுங்கள். காணாமல் போன universe கூறு அல்லது பாதுகாப்புப் பாகம் முற்றிலும் கண்டுபிடிக்க முடியாத தொகுப்பைத் தருகிறது. இரண்டு நிலைகளிலும் சுயவிவரம் தொடப்படாமலும் சுரங்கம் சாத்தியமற்றதாகவும் இருக்கும்.

VPN பதிவுக்கு முன் தொகுப்பு மேலாளரின் பிழையைப் படியுங்கள். கிளையண்ட் ஒருபோதும் நிறுவப்படவில்லை என்றால், எவ்வளவு சுயவிவரத் திருத்தமும் கைக்குலுக்கலைத் தராது.

கேட்பதை நிறுத்தும் இரு-காரணி சுயவிவரங்கள் அதே கதையின் செருகுநிரல் பதிப்பு. சவால் அங்கீகார செருகுநிரலிலிருந்து வருகிறது, அதை நீக்கிய அல்லது மாற்றிய மேம்பாடு சுயவிவரத்தை அப்படியே விட்டு கோரிக்கையை மறையச் செய்கிறது. இணைப்பு வேலை செய்ய இரண்டாவது காரணியை அழிப்பதற்குப் பதிலாக ஆதரிக்கப்பட்ட செருகுநிரலை மீண்டும் நிறுவுங்கள்.

விற்பனையாளர் நூலகம் கொள்கைப் பிழைக்குப் பின்னால் ஒளியலாம்

ஒரு வடிவம் அங்கீகரிக்கத் தகுந்தது, ஏனெனில் அது ஒவ்வொரு கொள்கைப் பழுதுநீக்கத்தையும் வெல்கிறது. வன்பொருள் விற்பனையாளரின் கட்டமைப்புக் கருவி தனது சொந்த OpenSSL நூலகங்களை நிறுவி, ஏற்றியின் தேடல் பாதையில் கணினி நகல்களுக்கு முன் வைக்கலாம். பின்னர் கிளையண்ட் யாரும் மேம்படுத்தாத நூலகத்திற்கு எதிராகத் தொடங்குகிறது, தொடக்கத் தோல்வி நிராகரிக்கப்பட்ட சான்றிதழைப் போலவே தெரிகிறது.

VPN தொகுப்பை மீண்டும் நிறுவுவது எந்த நூலகம் முதலில் கிடைக்கும் என்பதை மாற்றாது, TLS நிலையைக் குறைப்பது கணினியிலிருந்து ஒருபோதும் வராத நூலகத்தை அடையாது. ஏற்றியிடம் பைனரி உண்மையில் எந்த மறையீட்டுப் பொருட்களைத் தீர்க்கிறது எனக் கேளுங்கள்:

ldd /usr/sbin/openvpn | grep -i -E 'ssl|crypto'

விற்பனையாளர் நகலை நீக்கி அல்லது மீண்டும் இயக்கி, பின்னர் அதே சரிபார்ப்பை மீண்டும் இயக்குங்கள். சுயவிவரத்திற்குத் திரும்பும் முன் எதிர்பார்க்கப்படும் பதிப்பே பயன்பாட்டில் இருக்க வேண்டும்.

பழைய கிளையண்டைப் பின்னுவது நேரத்தை வாங்குகிறது, தீர்வை அல்ல

முந்தைய கிளையண்ட் பதிப்பை வைத்திருப்பது பிடிப்பு நீடிக்கும் வரை சுரங்கத்தை மீட்டெடுக்கிறது. அது அந்தத் தொகுப்பின் பாதுகாப்பு புதுப்பிப்புகளையும் முடக்கி, அடுத்த மேம்பாட்டிற்கு அதே உடைவைத் திட்டமிடுகிறது, எனவே இதைத் தீர்வாக அல்ல, தேதியிட்ட தற்காலிக நடவடிக்கையாகக் கருதுங்கள்.

எப்படியும் அதைப் பின்னினால், கண்காணிப்பற்ற மேம்பாடு பின்னலை ரத்து செய்ய முடியாதபடி தொகுப்பை வெளிப்படையாக வைத்திருங்கள், காரணத்தையும் மறுபரிசீலனை தேதியையும் எழுதுங்கள், வழங்குநரின் அடுத்த சுயவிவர வெளியீட்டிற்கு நினைவூட்டல் வையுங்கள். கவனிக்கத் தகுந்த நிலை தற்போதைய சைஃபரைப் பேச்சுவார்த்தை செய்யும் சேவையக சுயவிவரம்; அது இருந்தால் பின்னலுக்கு எந்த நியாயமும் மிஞ்சாது. மாறாக, பதிவு செய்யாத பின்னல் ஆறு மாதங்களுக்குப் பிறகு யாரும் விளக்க முடியாத தடையாக மாறும், ஏனெனில் அதைப் பயன்படுத்தியவர் சென்றுவிட்டார், கோப்பு எதையும் பதிவு செய்யவில்லை.

அடுத்த முறை வெளியீட்டு மேம்பாட்டிற்குப் பிறகு VPN இறந்தால், ஐந்து கேள்விகளை வரிசையாகக் கேளுங்கள்: எந்த அடுக்கு முதல் பிழையைத் தந்தது, TLS கொள்கை சான்றிதழை நிராகரித்ததா, சைஃபர் இரு திசைகளிலும் பேச்சுவார்த்தைக்கு உட்படுமா, தொகுப்பும் அதன் செருகுநிரலும் உண்மையில் நிறுவப்பட்டனவா, செயல்முறை எந்த நூலகத்தை ஏற்றுகிறது. ஐந்தும் தூய்மையாகத் திரும்பிய பிறகே பதிப்பைக் குறைப்பதில் அர்த்தம் உண்டு.