Herkese açık VPN yapılandırması çalışmayı bıraktı mı? Hata aşamasını okuyun
İndirilen bir profil tek bir günü, tek bir ana makineyi anlatır. Hangi varsayımın kırıldığını okuyun, karşı tarafın sunduğu sertifikayı denetleyin ve doğrulamayı asla kapatmayın.
Profil salı günü çalışıyordu, cuma günü istemci otuz saniye dönüp pes ediyor. Makinenizde hiçbir şey değişmedi. Mesele tam olarak bu: indirilen bir yapılandırma tek bir anda tek bir ana makineyi anlatır ve karşı uçtaki işletmenin o açıklamayı doğru tutma yükümlülüğü yoktur. Cazibe, tünel geri gelene kadar güvenlik ayarlarını kurcalamaya başlamaktır. İnsanları sertifika doğrulaması kapatılmış bir profili çalıştırmaya götüren tam olarak bu dürtüdür ve bu, hiç tünel olmamasından daha kötüdür.
Dosya bir anı anlatır, sözleşmeyi değil
Bir yapılandırma dosyası bir dizi varsayımdır: bu ana makine adı bu bağlantı noktasında bu protokolle dinler, bu adla eşleşen bir sertifika sunar ve bu kimlik bilgilerini kabul eder. Bunlardan herhangi biri doğru olmaktan çıktığında dosya eskimiştir ve onarım sınırın işletme tarafına aittir, sizin ayarlarınıza değil.
Herkese açık düğüm listeleri bunu doğası gereği açık kılar. Düğümleri gönüllüler işletir, ortaya çıkıp kaybolurlar, adresler geri dönüştürülür ve bağlantı noktaları arkalarında bulundukları ağ tarafından engellenir. Liste yeniden üretilen bir anlık görüntüdür ve diskinizdeki kopya daha eski bir anlık görüntünün fotoğrafıdır.
Ticari hizmetler daha yavaş değişir, ama asla değişmez demek değildir. Sertifika makamları döner, bir dinleyici paylaşılan adresten ayrı adrese taşınır, eski bir protokol emekliye ayrılır ve yeni bir şifre listesi gelir. Bunların her biri, istemciniz bağlanmayı deneyip dosyanın beklediğinden farklı bir yanıt alana kadar görünmezdir.
Bir ayara dokunmadan önce hata aşamasını okuyun
Hata iletisi hangi varsayımın kırıldığını söyler ve her varsayımın onarımı tamamen farklıdır. Ana makine adı artık çözümlenmezken şifreleri düzenlemek bir öğleden sonrayı boşa harcar ve kimseye bir şey öğretmez.
| What happens | The assertion that broke | Supported response |
|---|---|---|
| Name never resolves | The host still exists under that name | Get a current endpoint from the operator |
| TCP connect times out | The listener is on that port and reachable | Check the current published port, then the local network |
| TLS or key exchange fails | The peer presents the expected identity | Compare the certificate, not the cipher list |
| Authentication rejected | The account is still valid | Get credentials reissued or stop using the service |
dig +short vpn.example.net
curl -sS -o /dev/null -w 'connect=%{time_connect} tls=%{time_appconnect}\n' --max-time 8 https://vpn.example.net:443/
openssl s_client -connect vpn.example.net:443 -servername vpn.example.net -brief </dev/nullOrta satır, engellenmiş yolu bozuk bir el sıkışmadan ayırır ve üçüncüsü gerçekte sunulan sertifikanın verenini ve geçerlilik tarihlerini gösterir. O veren, profilin sabitlediği veren değilse sertifika değişmiştir ve istemci tarafındaki hiçbir seçenek eski sabitlemeyi yeniden doğru yapmaz.
Sertifika ve kimlik değişiklikleri sessiz olanlardır
Çoğu arıza kendini duyurur. Kimlik değişiklikleri duyurmaz, çünkü sertifika adını sabitleyen istemci, tamamen geçerli yeni bir sertifikayı birçok kişinin hata olarak okuduğu bir iletiyle reddeder. Tünel iyi durumda. Sabitleme eski.
Bir sonuca varmadan önce kimlik seçeneklerine bakın:
grep -nE '^(remote|proto|auth|verify-x509-name|tls-crypt|key-direction|ca) ' profile.ovpn
openssl x509 -in profile-ca.crt -noout -subject -datesProfil gömülü bir CA taşıyorsa ve işletme yeni bir makama geçmişse, eski dosya yeni sunucuyu doğrulayamaz. CA bloğunu işletmenin yayımladığıyla değiştirmek meşru bir onarımdır. Doğrulama yönergesini silmek değildir ve bunlar aynı tuş vuruşlarıdır, sonuç çok farklıdır.
Bir istemci yükseltmesi, işletme tarafında hiçbir değişiklik olmadan aynı belirtiyi üretebilir. Sessizce tolere edilen seçenekler artık reddedilir veya kullanımdan kalkmış bir protokol kaldırılır. Bu, yazılımınızdaki bir uyumluluk sınırıdır ve sunucuyu suçlamadan önce aynı istemciyle ikinci bir profili denemeye değer.
Geçerli bir yedeği yalnızca işletme yayımlayabilir
Bir düğüm kaybolduğunda, yedek orijinali yayımlayan aynı kaynaktan gelmelidir. «Aynı sunucu adını kullanıyor» diye doğrudan mesajla gelen bir profil, bilinmeyen bir tarafın doğrulanmamış yapılandırmasıdır ve onu içe aktarmak o tarafa yönlendirmeniz üzerinde kontrol verir.
Denetim ucuzdur. Güncel dosyayı yayımlanan konumdan alın, uç noktayı ve protokolü listeyle karşılaştırın ve dosya adına güvenmek yerine CA malzemesinin parmak izini doğrulayın:
curl -sS -o current.ovpn https://example.org/nodes/current.ovpn
sha256sum current.ovpn profile.ovpn
grep -nE '^(remote|proto) ' current.ovpnİki hash yalnızca boşluklarda farklıysa bir biçimlendirme değişikliği vardır. Uç noktalarda farklıysa işletme bir şeyi taşımıştır ve yayımlanan dosya yetkilidir. Yayımlanan dosya sizinkinden eskiyse muhtemelen bir önbelleğe bakıyorsunuzdur ve eski yanıt sizi yanlış yöne gönderir.
Eski girdiyi devreden çıkarın ve ne olduğunu kaydedin
Çalışan bir yedek doğrulandıktan sonra, eski profili yedek olarak tutmak yerine silin. Yarı yarıya bağlanan eski bir girdi bir tuzaktır: kesinti sırasında seçilir, yavaş yavaş başarısız olur ve hata ayıklayan kişi ilk on dakikayı yanlış dosyada geçirir.
Yapılandırmanın dışında kısa bir kayıt tutun: tarih, eski uç nokta, hata aşaması ve yerine ne geçtiği. Herkese açık düğümler değişir ve altı hafta sonra aynı soru başka bir kişiyle gelir. Bir not dosyasındaki tek satır bunu saniyeler içinde yanıtlar.
Bir ağdan her düğüm aynı şekilde başarısız oluyorsa ve diğerinden hiçbiri olmuyorsa, profilleri düzenlemeyi bırakın ve yerel yola bakın. Yakalayan bir portal, filtrelenmiş bir bağlantı noktası aralığı veya araya giren bir vekil, ilgisiz sağlayıcılarda aynı hataları üretir ve sorunun hiçbir zaman dosyada olmadığının tek işareti bu desendir.