บรรทัดการเข้ารหัสที่ล้าสมัยในโปรไฟล์ VPN เก่า: อ่านก่อนคัดลอก

โปรไฟล์นี้เขียนขึ้นในปี 2016 และยังนำเข้าได้และยังเชื่อมต่อได้ นั่นคือเหตุผลที่ไม่มีใครดูมัน ไคลเอนต์ที่เคยอ่านคำสั่งเหล่านี้หายไปนานแล้ว และบิลด์ปัจจุบันอาจตีความหลายรายการต่างออกไป

การที่ไฟล์ยังอยู่ไม่ได้หมายความว่าการกำหนดค่าจะเป็นปัจจุบัน การแยกสองแนวคิดนี้ออกจากกันคือส่วนใหญ่ของงาน

ค้นหาไคลเอนต์ที่เขียนโปรไฟล์

เริ่มจากผู้เผยแพร่และเวอร์ชัน ความหมายของคำสั่งถูกกำหนดโดยการใช้งานที่อ่านมัน บรรทัดที่เคยเลือกอัลกอริทึมอาจกลายเป็นรายการสำรอง คำเตือน หรือข้อผิดพลาดร้ายแรง เวอร์ชันใดตีความมันเป็นตัวกำหนดผลลัพธ์

OpenVPN คือตัวอย่างที่ชัดเจนที่สุด เวอร์ชัน 2.5 แนะนำ data-ciphers และเปลี่ยนวิธีที่คำสั่งเก่า cipher มีส่วนร่วมในการเจรจา โปรไฟล์ที่มีเพียง cipher AES-128-CBC ตอนนี้เสนอข้อเสนอที่แคบกว่าที่ผู้เขียนตั้งใจไว้มาก

อ่านบันทึกประจำรุ่นสำหรับการตั้งค่าที่ตอนนี้เตือนหรือล้มเหลว คำเตือนในบันทึกเป็นข้อเท็จจริงเกี่ยวกับบิลด์ปัจจุบัน และหนักกว่าความทรงจำของใครก็ตามว่าทำไมจึงเพิ่มบรรทัดนั้น

ดูว่าเกิดการเจรจาอะไรจริง ๆ

การนำเข้าที่สำเร็จพิสูจน์การแยกวิเคราะห์ ไม่ใช่นโยบาย ผลลัพธ์ที่เจรจาแล้วจะปรากฏในบันทึกของไคลเอนต์หลังจากเชื่อมต่อขึ้นแล้ว ผลลัพธ์อาจแตกต่างจากทั้งสองปลายของไฟล์กำหนดค่า

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

การนำเข้าที่ได้รับการยอมรับแต่ทิ้งคำสั่งไปอย่างเงียบ ๆ จะเหลือโปรไฟล์ที่อ่านแบบหนึ่งแต่ทำงานอีกแบบหนึ่ง ช่องว่างนั้นคือเหตุผลที่เอกสารที่ติดป้ายว่าป้องกันแน่นหนาเจรจาสิ่งที่อ่อนแอกว่าที่ข้อความของมันเองอ้างไว้ บันทึกคือที่เดียวที่ความแตกต่างปรากฏ อ่านมันก่อนเชื่อไฟล์

อัปเกรดการจัดวาง ไม่ใช่บรรทัด

ใช้โปรไฟล์ที่ผู้ให้บริการดูแลแทนการ ประกอบชื่ออัลกอริทึมจนกว่าการนำเข้าจะเลิกร้องเรียน การเพิ่มบรรทัดด้วยการลองผิดลองถูกกลับทิศทางการแก้ไข มันปรับไคลเอนต์ให้เข้ากับเซิร์ฟเวอร์ที่ไม่รู้จักแทนที่จะพิสูจน์ว่าเซิร์ฟเวอร์รองรับอะไร

เซิร์ฟเวอร์อาจต้องการการอัปเกรดที่ประสานกันด้วย ไคลเอนต์ปัจจุบันไม่สามารถสร้างการรองรับข้อเสนอที่อีกฝ่ายไม่เคยเสนอได้ ไม่มีตัวเลือกฝั่งไคลเอนต์ใดทดแทนเกตเวย์ที่ยังไม่ได้อัปเดต

สิ่งที่ต้องไม่แลกไปคือการตรวจสอบ การลบการตรวจสอบใบรับรอง การปิดการตรวจสอบชื่อโฮสต์ หรือการปิดการอัปเดตเพื่อรักษาโปรไฟล์เก่าไว้ ทำให้ปัญหาความเข้ากันได้กลายเป็นปัญหาความไว้วางใจ มักเกิดขึ้นทีละการแก้ไขเล็ก ๆ

ยืนยันผลลัพธ์และบันทึกข้อยกเว้น

หลังการเปลี่ยนแปลง ให้ตรวจสอบชุดที่เจรจาอีกครั้งและทดสอบทรัพยากรที่อุโมงค์มีไว้สำหรับ โปรไฟล์ที่เจรจาตามที่คุณตั้งใจแต่ยังไปไม่ถึงบริการมีปัญหาการกำหนดเส้นทางหรือตัวตน ไม่มีปัญหาการเข้ารหัส

เก็บการกำหนดค่าที่รู้ว่าดีไว้ในที่ที่ได้รับการป้องกัน การเปรียบเทียบทำได้เฉพาะตราบเท่าที่ไฟล์เก่ายังอยู่

บันทึกข้อยกเว้นด้านความเข้ากันได้ใด ๆ พร้อมเจ้าของและวันที่ทบทวน มาตรการชั่วคราวที่ไม่มีเจ้าของจะกลายเป็นนโยบายถาวร คนถัดไปที่อ่านไฟล์จะถือว่ามันถูกเลือกอย่างจงใจ