Eski VPN profillerindeki kullanımdan kalkmış şifre satırları: kopyalamadan önce okuyun

Bu profil 2016’da yazıldı ve hâlâ içe aktarılıyor ve hâlâ bağlanıyor. Bu yüzden kimse ona bakmıyor. Bu yönergeleri bir zamanlar okuyan istemci çoktan gitti ve mevcut derleme bunların birkaçını farklı yorumlayabilir.

Bir dosyanın ayakta kalması, yapılandırmanın güncel olduğu anlamına gelmez. Bu iki fikri ayırmak işin büyük kısmıdır.

Profili hangi istemcinin yazdığını öğrenin

Yayıncı ve sürümle başlayın. Bir yönergenin anlamı, onu okuyan uygulama tarafından tanımlanır. Bir zamanlar algoritma seçen satır, yedek liste, uyarı ya da katı bir hata hâline gelebilir. Hangi sürümün onu yorumladığı sonucu belirler.

OpenVPN en açık örnektir. Sürüm 2.5 data-ciphers öğesini getirdi ve eski cipher yönergesinin müzakerelere katılma biçimini değiştirdi. Yalnızca cipher AES-128-CBC taşıyan bir profil artık yazarının amaçladığından çok daha dar bir teklif yapar.

Artık uyarı veren ya da başarısız olan ayar için sürüm notlarını okuyun. Günlükteki bir uyarı, mevcut derleme hakkında bir olgudur ve satırın neden eklendiğine dair herhangi birinin anısından daha ağır basar.

Gerçekte neyin müzakere edildiğine bakın

Başarılı bir içe aktarma ayrıştırmayı kanıtlar, politikayı değil. Müzakere edilen sonuç, bağlantı kurulduktan sonra istemci günlüğünde görünür. Yapılandırma dosyasının iki ucundan da farklı olabilir.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

Bir yönergeyi sessizce düşüren kabul edilmiş bir içe aktarma, bir biçimde okunan ve başka bir biçimde davranan bir profil bırakır. Bu boşluk, sertleştirilmiş olarak etiketlenen bir belgenin kendi metninin iddia ettiğinden daha zayıf bir şeyi nasıl müzakere ettiğini açıklar. Farkın göründüğü tek yer günlüktür. Dosyaya güvenmeden önce onu okuyun.

Satırı değil, düzeni yükseltin

İçe aktarma şikâyet etmeyi bırakana kadar algoritma adlarını bir araya getirmek yerine operatörün bakımını yaptığı profili alın. Deneme yoluyla satır eklemek düzeltmenin yönünü tersine çevirir. Sunucunun neyi desteklediğini belirlemek yerine istemciyi bilinmeyen bir sunucuya uyarlar.

Sunucunun da eşgüdümlü yükseltmeye ihtiyacı olabilir. Mevcut bir istemci, karşı tarafın hiç sunmadığı bir teklif için destek oluşturamaz. İstemci tarafındaki hiçbir seçenek güncellenmemiş bir ağ geçidinin yerini tutmaz.

Feda edilmemesi gereken şey doğrulamadır. Sertifika denetimlerini kaldırmak, ana bilgisayar adı denetimini kapatmak ya da eski bir profili yaşatmak için güncellemeleri kapatmak bir uyumluluk sorununu güven sorununa dönüştürür. Bu genellikle seferde tek bir küçük düzenlemeyle olur.

Sonucu doğrulayın ve istisnayı kaydedin

Değişiklikten sonra müzakere edilen kümeyi yeniden inceleyin ve tünelin var olma amacı olan kaynağı test edin. Amaçladığınızı müzakere edip yine de hizmete ulaşamayan bir profilde yönlendirme ya da kimlik sorunu vardır. Kriptografik bir sorunu yoktur.

Önceki iyi bilinen yapılandırmayı korunan bir yerde saklayın. Karşılaştırma yalnızca eski dosya hâlâ var olduğu sürece mümkündür.

Her uyumluluk istisnasını bir sahip ve bir inceleme tarihiyle birlikte belgeleyin. Sahibi olmayan geçici bir düzenleme kalıcı politikaya dönüşür. Dosyayı okuyan bir sonraki kişi, bunun bilerek seçildiğini varsayacaktır.