Huminto sa paggana ang pampublikong VPN config? Basahin ang yugto ng pagpalya

Gumana ang profile noong Martes, at noong Biyernes umiikot ang kliyente nang tatlumpung segundo at sumusuko. Walang nagbago sa iyong makina. Iyon mismo ang punto: ang na-download na config ay naglalarawan ng isang host sa isang sandali, at ang operator sa kabilang dulo ay walang obligasyong panatilihing totoo ang paglalarawang iyon. Ang tukso ay simulang i-edit ang mga setting ng seguridad hanggang bumalik ang tunel. Iyon ding damdamin ang dahilan kung bakit nauuwi ang mga tao sa pagpapatakbo ng profile na patay ang beripikasyon ng sertipiko, na mas masahol pa kaysa walang tunel.

Inilalarawan ng file ang isang sandali, hindi kontrata

Ang config file ay isang hanay ng mga pahayag: ang hostname na ito ay nakikinig sa port na ito gamit ang protokol na ito, nagpapakita ng sertipikong tumutugma sa pangalang ito, at tumatanggap ng mga kredensyal na ito. Kapag ang alinman sa mga ito ay hindi na totoo, ang file ay luma na at ang pag-aayos ay pagmamay-ari ng panig ng operator sa hangganan, hindi ng iyong mga setting.

Mga pampublikong listahan ng node ginagawa itong malinaw ayon sa kanilang kalikasan. Ang mga node ay pinapatakbo ng mga boluntaryo, lumilitaw at nawawala, nire-recycle ang mga address at hinaharangan ang mga port ng network sa likod nito. Ang listahan ay isang snapshot na muling ginagawa, at ang kopya sa iyong disk ay larawan ng mas lumang snapshot.

Ang mga komersyal na serbisyo ay mas mabagal magbago, ngunit hindi kailanman. Nag-oorbit ang mga awtoridad ng sertipiko, lumilipat ang tagapakinig mula sa ibinahaging address patungo sa dedikado, tinatanggal ang lumang protokol at dumarating ang bagong listahan ng cipher. Bawat isa sa mga ito ay hindi nakikita hanggang subukan ng iyong kliyente na kumonekta at makakuha ng ibang sagot kaysa sa inaasahan ng file.

Basahin ang yugto ng pagpalya bago hawakan ang isang setting

Sinasabi ng mensahe ng error kung aling pahayag ang nabasag, at bawat pahayag ay may ganap na ibang pag-aayos. Ang pag-edit ng cipher kapag hindi na nagre-resolve ang hostname ay nag-aaksaya ng isang hapon at walang natututuhan ang sinuman.

dig +short vpn.example.net
curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect}\n' --max-time 8 https://vpn.example.net:443/
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/null

Ang gitnang linya ay naghihiwalay ng hinaharangan na landas mula sa sirang handshake, at ang pangatlo ay nagpapakita ng issuer at mga petsa ng bisa ng sertipikong aktuwal na ipinapakita. Kung ang issuer na iyon ay hindi ang pin ng profile, nagbago ang sertipiko, at walang opsyon sa panig ng kliyente ang muling gagawing tama ang lumang pin.

Ang mga pagbabago sa sertipiko at pagkakakilanlan ang tahimik

Karamihan ng pagpalya ay nagpapahayag ng sarili. Ang mga pagbabago sa pagkakakilanlan ay hindi, dahil ang kliyenteng nagpin ng pangalan ng sertipiko ay tatanggihan ang isang ganap na magandang bagong sertipiko gamit ang mensaheng binabasa ng marami bilang bug. Maayos ang tunel. Luma na ang pin.

Hanapin ang mga opsyon sa pagkakakilanlan bago maghinuha ng anuman:

grep -nE '^(remote|proto|auth|verify-x509-name|tls-crypt|key-direction|ca) ' profile.ovpn
openssl x509 -in profile-ca.crt -noout -subject -dates

Kung ang profile ay may naka-embed na CA at lumipat ang operator sa bagong awtoridad, hindi maaaring i-validate ng lumang file ang bagong server. Ang pagpapalit ng bloke ng CA ng inilathala ng operator ay lehitimong pag-aayos. Ang pagbura ng direktiba ng beripikasyon ay hindi, at pareho ang mga pagpindot ng key na may ganap na ibang resulta.

Ang pag-upgrade ng kliyente ay maaaring magdulot ng parehong sintomas nang walang anumang pagbabago mula sa operator. Ang mga opsyon na tahimik na tinitiis ay tinatanggihan na ngayon, o tinatanggal ang lumang protokol. Iyon ay limitasyon sa pagiging tugma sa iyong software, at sulit na subukan ang pangalawang profile gamit ang parehong kliyente bago sisihin ang server.

Tanging ang operator ang makapaglalathala ng valid na kapalit

Kapag nawala ang isang node, ang kapalit ay dapat magmula sa parehong pinagmulan na naglathala ng orihinal. Ang profile na dumarating sa direktang mensahe dahil «gumagamit ito ng parehong pangalan ng server» ay isang hindi na-verify na config mula sa hindi kilalang partido, at ang pag-import nito ay nagbibigay sa partidong iyon ng kontrol sa iyong routing.

Mura ang pagsusuri. Kunin ang kasalukuyang file mula sa inilathalang lokasyon, ihambing ang endpoint at protokol sa listahan, at kumpirmahin ang fingerprint ng materyal ng CA sa halip na magtiwala sa pangalan ng file:

curl -sS -o current.ovpn https://example.org/nodes/current.ovpn
sha256sum current.ovpn profile.ovpn
grep -nE '^(remote|proto) ' current.ovpn

Kung ang dalawang hash ay nagkakaiba lamang sa puwang, may pagbabago ka sa format. Kung nagkakaiba ang mga ito sa mga endpoint, may inilipat ang operator at ang inilathalang file ang awtoridad. Kung ang inilathalang file ay mas luma kaysa sa hawak mo, malamang ay tumitingin ka sa cache, at ang lumang sagot ay magpapadala sa iyo sa maling direksyon.

Alisin ang lumang entry at itala ang nangyari

Kapag na-verify na ang gumaganang kapalit, burahin ang lumang profile sa halip na itago ito bilang reserba. Ang lumang entry na kalahating kumokonekta ay isang bitag: pipiliin ito sa panahon ng outage, mabagal itong mabibigo, at ang nagde-debug ay gugugol ng unang sampung minuto sa maling file.

Magtago ng maikling tala sa labas ng config: ang petsa, ang lumang endpoint, ang yugto ng pagpalya at kung ano ang pumalit. Nagbabago ang mga pampublikong node, at pagkalipas ng anim na linggo dumarating ang parehong tanong kasama ang ibang tao. Isang linya sa file ng tala ang sumasagot nito sa loob ng ilang segundo.

Kung mula sa isang network bawat node ay pumapalya sa parehong paraan at mula sa iba ay wala, itigil ang pag-edit ng profile at tingnan ang lokal na landas. Ang captive portal, nasala na hanay ng port o intercepting proxy ay gagawa ng magkatulad na error sa mga provider na walang kaugnayan, at ang pattern na iyon ang tanging senyales na hindi kailanman ang file ang problema.