பொது VPN உள்ளமைவு வேலை செய்வதை நிறுத்தியதா? தோல்வி நிலையைப் படியுங்கள்
பதிவிறக்கிய சுயவிவரம் ஒரு நாளில் ஒரு ஹோஸ்ட்டை விவரிக்கிறது. எந்த உறுதிமொழி முறிந்தது என்பதைப் படியுங்கள், எதிர்ப்பக்கம் வழங்கும் சான்றிதழைச் சரிபார்க்கவும், சரிபார்ப்பை ஒருபோதும் முடக்க வேண்டாம்.
சுயவிவரம் செவ்வாய்க்கிழமை வேலை செய்தது, வெள்ளிக்கிழமை கிளையண்ட் முப்பது வினாடிகள் சுழன்று கைவிடுகிறது. உங்கள் இயந்திரத்தில் எதுவும் மாறவில்லை. அதுதான் முக்கிய விஷயம்: பதிவிறக்கிய உள்ளமைவு ஒரு கணத்தில் ஒரு ஹோஸ்ட்டை விவரிக்கிறது, மறுமுனையில் உள்ள இயக்குபவருக்கு அந்த விவரத்தை உண்மையாக வைத்திருக்க எந்தக் கடமையும் இல்லை. சுரங்கப்பாதை மீண்டும் மேலே வரும் வரை பாதுகாப்பு அமைப்புகளைத் திருத்தத் தொடங்குவதுதான் சோதனை. அந்த உணர்வுதான் மக்களை சான்றிதழ் சரிபார்ப்பு முடக்கப்பட்ட சுயவிவரத்தை இயக்கும் நிலைக்குக் கொண்டு வருகிறது, அது சுரங்கப்பாதையே இல்லாததை விட மோசம்.
கோப்பு ஒரு கணத்தை விவரிக்கிறது, ஒப்பந்தத்தை அல்ல
உள்ளமைவுக் கோப்பு என்பது உறுதிமொழிகளின் தொகுப்பு: இந்த ஹோஸ்ட் பெயர் இந்தப் போர்ட்டில் இந்த நெறிமுறையுடன் கேட்கிறது, இந்தப் பெயருக்குப் பொருந்தும் சான்றிதழை வழங்குகிறது, இந்த அடையாளச் சான்றுகளை ஏற்கிறது. இவற்றில் ஏதேனும் உண்மையாக இருக்க நின்றால் கோப்பு காலாவதியாகிறது, திருத்தம் எல்லையின் இயக்குபவர் பக்கத்திற்கு உரியது, உங்கள் அமைப்புகளுக்கு அல்ல.
பொது முனைப் பட்டியல்கள் தங்கள் இயல்பினாலேயே இதைத் தெளிவாக்குகின்றன. முனைகளைத் தன்னார்வலர்கள் இயக்குகிறார்கள், அவை தோன்றி மறைகின்றன, முகவரிகள் மறுசுழற்சி செய்யப்படுகின்றன, போர்ட்டுகள் அவற்றின் பின்னால் உள்ள வலையமைப்பால் தடுக்கப்படுகின்றன. பட்டியல் மீண்டும் உருவாக்கப்படும் கணநிலைப் படம், உங்கள் வட்டில் உள்ள நகல் பழைய கணநிலைப் படத்தின் புகைப்படம்.
வணிகச் சேவைகள் மெதுவாக மாறுகின்றன, ஆனால் ஒருபோதும் இல்லை என்பதில்லை. சான்றிதழ் அதிகாரங்கள் சுழல்கின்றன, கேட்பவர் பகிரப்பட்ட முகவரியிலிருந்து தனி முகவரிக்கு நகர்கிறார், பழைய நெறிமுறை விலக்கப்படுகிறது, புதிய மறையாக்கப் பட்டியல் வருகிறது. இவற்றில் ஒவ்வொன்றும் உங்கள் கிளையண்ட் இணைக்க முயற்சித்து கோப்பு எதிர்பார்ப்பதிலிருந்து வேறுபட்ட பதிலைப் பெறும் வரை கண்ணுக்குத் தெரிவதில்லை.
ஒரு அமைப்பைத் தொடும் முன் தோல்வி நிலையைப் படியுங்கள்
பிழைச் செய்தி எந்த உறுதிமொழி முறிந்தது என்பதைச் சொல்கிறது, ஒவ்வொரு உறுதிமொழிக்கும் முற்றிலும் வேறுபட்ட திருத்தம் உண்டு. ஹோஸ்ட் பெயர் இனி தீர்க்கப்படாதபோது மறையாக்கங்களைத் திருத்துவது ஒரு பிற்பகலை வீணாக்குகிறது, யாருக்கும் எதையும் கற்பிக்கவில்லை.
| What happens | The assertion that broke | Supported response |
|---|---|---|
| Name never resolves | The host still exists under that name | Get a current endpoint from the operator |
| TCP connect times out | The listener is on that port and reachable | Check the current published port, then the local network |
| TLS or key exchange fails | The peer presents the expected identity | Compare the certificate, not the cipher list |
| Authentication rejected | The account is still valid | Get credentials reissued or stop using the service |
dig +short vpn.example.net
curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect}\n' --max-time 8 https://vpn.example.net:443/
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/nullநடுச் சால் தடுக்கப்பட்ட பாதையை உடைந்த கைகுலுக்கலிலிருந்து பிரிக்கிறது, மூன்றாவது உண்மையில் வழங்கப்படும் சான்றிதழின் வழங்குநரையும் செல்லுபடியாகும் தேதிகளையும் காட்டுகிறது. அந்த வழங்குநர் சுயவிவரம் பதித்தவர் அல்ல என்றால் சான்றிதழ் மாறிவிட்டது, கிளையண்ட் பக்கத்தின் எந்த விருப்பமும் பழைய பதிவை மீண்டும் சரியாக்காது.
சான்றிதழ் மற்றும் அடையாள மாற்றங்களே அமைதியானவை
பெரும்பாலான தோல்விகள் தங்களை அறிவிக்கின்றன. அடையாள மாற்றங்கள் அறிவிப்பதில்லை, ஏனெனில் சான்றிதழின் பெயரைப் பதிக்கும் கிளையண்ட் முற்றிலும் நல்ல புதிய சான்றிதழைப் பலர் பிழை எனப் படிக்கும் செய்தியுடன் நிராகரிக்கும். சுரங்கப்பாதை நன்றாக உள்ளது. பதிவு காலாவதியானது.
எந்த முடிவுக்கும் வரும் முன் அடையாள விருப்பங்களைத் தேடுங்கள்:
grep -nE '^(remote|proto|auth|verify-x509-name|tls-crypt|key-direction|ca) ' profile.ovpn
openssl x509 -in profile-ca.crt -noout -subject -datesசுயவிவரத்தில் உட்பொதிக்கப்பட்ட CA இருந்து இயக்குபவர் புதிய அதிகாரத்திற்கு மாறியிருந்தால், பழைய கோப்பு புதிய சேவையகத்தைச் சரிபார்க்க முடியாது. CA தொகுதியை இயக்குபவர் வெளியிட்டதால் மாற்றுவது சட்டபூர்வமான திருத்தம். சரிபார்ப்புக் கட்டளையை நீக்குவது அல்ல, அவை அதே விசை அழுத்தங்கள், முடிவு முற்றிலும் வேறுபட்டது.
இயக்குபவரின் எந்த மாற்றமும் இல்லாமலே கிளையண்ட் மேம்படுத்தல் அதே அறிகுறியை உருவாக்கலாம். அமைதியாகப் பொறுத்துக்கொள்ளப்பட்ட விருப்பங்கள் இப்போது நிராகரிக்கப்படுகின்றன, அல்லது காலாவதியான நெறிமுறை நீக்கப்படுகிறது. இது உங்கள் மென்பொருளின் இணக்க வரம்பு, சேவையகத்தைக் குற்றம் சாட்டும் முன் அதே கிளையண்டில் இரண்டாவது சுயவிவரத்தை முயற்சிப்பது மதிப்புள்ளது.
செல்லுபடியான மாற்றீட்டை வெளியிட முடியும் இயக்குபவர் மட்டுமே
ஒரு முனை மறைந்தால், மாற்றீடு அசலை வெளியிட்ட அதே மூலத்திலிருந்தே வர வேண்டும். «அதே சேவையகப் பெயரைப் பயன்படுத்துகிறது» என்ற காரணத்தால் நேரடிச் செய்தியில் வரும் சுயவிவரம் அறியப்படாத தரப்பின் சரிபார்க்கப்படாத உள்ளமைவு, அதை இறக்குமதி செய்வது அந்தத் தரப்பிற்கு உங்கள் வழிமாற்றத்தின் கட்டுப்பாட்டை அளிக்கிறது.
சரிபார்ப்பு மலிவானது. வெளியிடப்பட்ட இடத்திலிருந்து தற்போதைய கோப்பை எடுங்கள், முனைப்புள்ளி மற்றும் நெறிமுறையைப் பட்டியலுடன் ஒப்பிடுங்கள், கோப்பின் பெயரை நம்புவதற்குப் பதிலாக CA பொருளின் கைரேகையை உறுதிப்படுத்துங்கள்:
curl -sS -o current.ovpn https://example.org/nodes/current.ovpn
sha256sum current.ovpn profile.ovpn
grep -nE '^(remote|proto) ' current.ovpnஇரண்டு ஹாஷ்களும் இடைவெளிகளில் மட்டும் வேறுபட்டால் அது வடிவமைப்பு மாற்றம். அவை முனைப்புள்ளிகளில் வேறுபட்டால் இயக்குபவர் ஏதோ நகர்த்தியுள்ளார், வெளியிடப்பட்ட கோப்பே அதிகாரம். வெளியிடப்பட்ட கோப்பு உங்களுடையதை விடப் பழையது என்றால் நீங்கள் ஒரு தற்காலிகச் சேமிப்பைப் பார்க்கிறீர்கள், பழைய பதில் உங்களைத் தவறான திசையில் அனுப்பும்.
பழைய பதிவை விலக்கி என்ன நடந்தது என்பதைப் பதிவு செய்யுங்கள்
செயல்படும் மாற்றீடு சரிபார்க்கப்பட்டதும், பழைய சுயவிவரத்தை காப்புநகலாக வைத்திருக்காமல் நீக்குங்கள். பாதி இணைக்கும் பழைய பதிவு ஒரு பொறி: இடையூறின் போது அது தேர்ந்தெடுக்கப்படும், மெதுவாகத் தோல்வியடையும், பிழைத்திருத்தம் செய்பவர் முதல் பத்து நிமிடங்களைத் தவறான கோப்பில் செலவிடுவார்.
உள்ளமைவுக்கு வெளியே ஒரு சிறு பதிவை வைத்திருங்கள்: தேதி, பழைய முனைப்புள்ளி, தோல்வி நிலை, அதை எது மாற்றியது. பொது முனைகள் மாறுகின்றன, ஆறு வாரங்கள் கழித்து அதே கேள்வி வேறொரு நபருடன் வருகிறது. குறிப்புக் கோப்பில் ஒரு வரி சில வினாடிகளில் பதிலளிக்கிறது.
ஒரு வலையமைப்பிலிருந்து ஒவ்வொரு முனையும் ஒரே வழியில் தோல்வியடைந்தால் மற்றொன்றிலிருந்து எதுவும் தோல்வியடையாவிட்டால், சுயவிவரங்களைத் திருத்துவதை நிறுத்தி உள்ளூர் பாதையைப் பாருங்கள். கைப்பற்றும் வலைவாசல், வடிகட்டப்பட்ட போர்ட் வரம்பு அல்லது இடைமறிக்கும் ப்ராக்சி தொடர்பில்லாத வழங்குநர்களிடம் ஒரே மாதிரியான பிழைகளை உருவாக்கும், அந்த வடிவமே சிக்கல் ஒருபோதும் கோப்பாக இல்லை என்பதற்கான ஒரே சமிக்ஞை.