Mga lipas na linya ng cipher sa lumang VPN profile: basahin bago kopyahin

Ang profile na ito ay isinulat noong 2016, at naia-import pa rin at nakakonekta pa rin. Iyon mismo ang dahilan kung bakit walang tumitingin dito. Ang kliyenteng dating nagbabasa ng mga direktibang ito ay matagal nang nawala, at maaaring iba ang pagpapakahulugan ng kasalukuyang build sa ilan sa mga ito.

Ang patuloy na pag-iral ng file ay hindi nangangahulugang napapanahon ang configuration. Ang paghihiwalay ng dalawang ideyang iyon ang malaking bahagi ng gawain.

Alamin kung aling kliyente ang nagsulat ng profile

Magsimula sa naglabas at sa bersyon. Ang kahulugan ng isang direktiba ay tinutukoy ng implementasyong nagbabasa nito. Ang linyang dating pumipili ng algorithm ay maaaring maging fallback list, babala, o matigas na error. Kung aling release ang nagpapakahulugan dito ang nagtatakda ng resulta.

OpenVPN ang pinakamalinaw na halimbawa. Ipinakilala ng bersyon 2.5 ang data-ciphers at binago kung paano nakikilahok ang mas lumang direktibang cipher sa negosasyon. Ang profile na may lamang cipher AES-128-CBC ay gumagawa na ngayon ng mas makitid na mungkahi kaysa sa intensyon ng may-akda nito.

Basahin ang mga tala ng release para sa setting na nagbababala o nabibigo ngayon. Ang babala sa log ay katotohanan tungkol sa kasalukuyang build, at mas mabigat ito kaysa sa alaala ng kahit sino kung bakit idinagdag ang linya.

Tingnan kung ano ang tunay na napagkasunduan

Ang matagumpay na import ay nagpapatunay ng pag-parse, hindi ng patakaran. Ang napagkasunduang resulta ay lumilitaw sa log ng kliyente pagkatapos ng koneksyon. Maaari itong iba sa dalawang dulo ng configuration file.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

Ang tinanggap na import na tahimik na nagtatapon ng direktiba ay nag-iiwan ng profile na binabasa sa isang paraan at kumikilos sa iba. Ang agwat na iyon ang dahilan kung bakit ang dokumentong may tatak na pinatibay ay nakikipagnegosasyon sa mas mahina kaysa sa sinasabi ng sarili nitong teksto. Ang log ang tanging lugar kung saan lumilitaw ang pagkakaiba. Basahin ito bago magtiwala sa file.

I-upgrade ang kaayusan, hindi ang linya

Kunin ang profile na pinapanatili ng operator sa halip na pagsama-samahin ang mga pangalan ng algorithm hanggang tumigil sa pagreklamo ang import. Ang pagdaragdag ng linya sa pamamagitan ng pagsubok ay binabaligtad ang direksyon ng pagwawasto. Iniaangkop nito ang kliyente sa isang hindi kilalang server sa halip na itatag kung ano ang sinusuportahan ng server.

Maaaring kailanganin din ng server ang coordinated na pag-upgrade. Ang kasalukuyang kliyente ay hindi makakalikha ng suporta para sa mungkahing hindi kailanman iniaalok ng kabilang panig. Walang opsyon sa panig ng kliyente ang pumapalit sa gateway na hindi na-update.

Ang hindi dapat isakripisyo ay ang pagpapatunay. Ang pag-alis ng mga pagsusuri sa sertipiko, pagpapahinto sa pagsusuri ng hostname o pagpatay sa mga update upang mabuhay ang lumang profile ay ginagawang problema sa pagtitiwala ang problema sa compatibility. Karaniwan itong nangyayari nang isang maliit na pag-edit sa isang pagkakataon.

Kumpirmahin ang resulta at itala ang eksepsyon

Pagkatapos ng pagbabago, siyasatin muli ang napagkasunduang set at subukan ang resource na pinaglalaanan ng tunnel. Ang profile na nakikipagnegosasyon sa nilalayon mo ngunit hindi pa rin umaabot sa serbisyo ay may problema sa routing o pagkakakilanlan. Wala itong problema sa cryptography.

Itago ang dating kilalang-mabuting configuration sa protektadong lugar. Ang paghahambing ay posible lamang habang umiiral pa ang lumang file.

Idokumento ang anumang eksepsyon sa compatibility kasama ang may-ari at petsa ng pagsusuri. Ang pansamantalang kaayusan na walang may-ari ay nagiging permanente. Ipagpapalagay ng susunod na magbabasa ng file na sinadyang pinili ito.