Чи це виправлення безпеки OpenVPN узагалі про ваше встановлення?
Патчити й налаштовувати — це різні твердження. Визначте виконуваний файл, пакет за ним і перевірки, які профіль справді виконує.
Порада пропатчити клієнт, щоб він перевіряв сертифікати, надто розпливчаста, щоб діяти за нею. Вона може описувати виправлений дефект програми, стару збірку одного постачальника або профіль, який ніколи не вимагав цієї перевірки. Це три різні зміни з трьома різними власниками. Діяти за цим реченням, не знаючи, з яким із них ви зіткнулися, — це спосіб без причини змінити робочий клієнт.
Розділіть три твердження
Дефект програми має бюлетень, уражені версії та виправлений випуск. Збірка постачальника має власний канал розповсюдження й власний темп оновлень. Пропуск у профілі не має ні того, ні іншого, бо виконуваний файл гаразд, а конфігурація вимагає менше, ніж ви припускали. Доки твердження не назве одне з цих трьох, перевіряти нічого.
Запишіть твердження одним реченням, перш ніж шукати його. Якщо речення не може назвати, що зламано, пошук не має мети і кожен результат видається доречним.
| Claim | Evidence that settles it | Who owns the change |
|---|---|---|
| Software defect | Advisory naming affected versions | Package or product maintainer |
| Provider build | Release notes for that client | The provider |
| Profile omission | The configuration actually loaded | Whoever owns the profile |
Знайдіть виконуваний файл, який справді працює
Визначте, що запускає з'єднання, перш ніж дивитися на будь-яку версію. Служба дистрибутива, стільниковий плагін і застосунок постачальника можуть кожен використовувати різний виконуваний файл або рушій. Версія, яку друкує будь-який бінарник, що випадково опинився в шляху пошуку оболонки, не є описом машини. Прочитайте unit або процес, який справді виконав з'єднання.
systemctl cat openvpn-client@*.service
ps -o pid,cmd -C openvpn
apt-cache policy openvpn network-manager-openvpnЗапит пакета повідомляє, що локальні метадані вважають встановленим і доступним, а цей кеш може бути застарілим, тож спершу оновіть його. Він також нічого не каже про те, чи завантажила робоча служба бінарник, встановлений п'ять хвилин тому. Порівняйте запис пакета з процесом, який справді під'єднаний.
Докази з пакета замість вражень про версію
Обслуговування безпеки дистрибутивів часто переносить виправлення назад, тому старіша на вигляд версія upstream може все ще містити патч. Правильне й зворотне: пакет із незнайомого сховища не має автоматичного права на поточне обслуговування. Читайте статус підтримки випуску, а не номер версії.
Ця різниця — різниця між реальною прогалиною та числом, яке лише виглядає старим. Запишіть сховище, звідки прийшов пакет, бо той самий рядок версії може надійти дуже різними каналами з дуже різною підтримкою.
Конфігурація — друга половина
Виконуваний файл, який обслуговується, все ще потребує профілю, що вимагає перевірок, які ви вважаєте наявними. Якорі довіри, передбачена роль іншої сторони та очікуване ім'я сервера — пов'язані, але окремі рішення. Перевірка ролі не є перевіркою імені, і жодна не замінює іншої. Якщо попередження стосується конфігурації, виправлення належить тому, хто володіє профілем.
Не встановлюйте довільний патч, щоб компенсувати неперевірений профіль, і не додавайте директиву, щоб виправити справжній дефект реалізації. Обидві помилки здаються прогресом, тому обидві тривають.
Вирішуйте за доказами в записі
Рішення випливає з того, що ви встановили. Документований уражений пакет вимагає підтримуваного оновлення, непідтримувана платформа потребує шляху міграції, а клієнт постачальника потребує настанов цього постачальника. Неоднозначна інструкція потребує бюлетеня й ураженого компонента, перш ніж щось із цього застосується.
Тримайте активний клієнт, повну версію, бюлетень і власника профілю разом у записі зміни. Це сильніше за посилання на посібник, і саме це справді знадобиться наступній людині.