OpenVPN profildan key-method ni olib tashlash hech narsani o‘zgartirmaydi

Yillar davomida ishlagan profil birdan ishga tushishdan bosh tortadi va xabar hech kim qo‘shganini eslay olmaydigan direktivani nomlaydi: key-method. Keyingi qidiruv natijasi moslik uchun key-method 2 qo‘shishni taklif qiladi, bu esa boshqa davrning maslahati. Satrni rad etgan tahlil qiluvchi joriy bo‘lib, unda bunday parametr umuman yo‘q. Satrni olib tashlash ishga tushishni tuzatadi va ikki tomonning sessiyani qanday himoya qilishiga hech narsani o‘zgartirmaydi.

Profil tarkibidagi narsa bilan protokol aslida nima qilishi o‘rtasidagi shu tafovut bu yerda butun mavzu bo‘lib, odamlar bir vaqtda qiladigan bir necha boshqa o‘zgarishlarni ham izohlaydi. Bu o‘zgarishlar odatda bitta to‘plam bo‘lib kelishining sababini ham tushuntiradi.

Belgi qo‘l berish muvaffaqiyatsizligi emas, tahlil xatosi

Parametrlar har qanday paket yuborilishidan oldin o‘qiladi. Noma’lum direktivali profil o‘sha bosqichda muvaffaqiyatsizlikka uchraydi, shuning uchun jarayon hech qachon tarmoqqa yetib bormaydi va hech qachon qo‘l berish xatosini chiqarmaydi. Ifoda odatda parametr va faylni nomlaydi, bu esa buni sababga bog‘lash eng oson xatolardan biriga aylantiradi. Unda paket, marshrut yoki tarmoq himoyasi ishtirok etmaydi.

openvpn --config /etc/openvpn/client/office.ovpn --verb 3 --log /tmp/parse.log
grep -n 'Options error' /tmp/parse.log

Agar xabar direktivani nomlasa, tashxis tugadi: faylda bu qurilma qabul qilmaydigan narsa bor. Agar xabar o‘rniga fayl yo‘lini nomlasa, muammo yetishmayotgan include yoki kalitdir, bu esa o‘sha ishga tushish bosqichining boshqa qismi.

Siz shunday xulosa chiqarmasligingiz kerak: mijoza yoki serverga eskiroq protokol rejimi kerak. Tahlil muvaffaqiyatsizligi sizning faylingiz va binar fayl o‘rtasidagi lug‘at muammosi, binar fayl esa bu holatda o‘z lug‘atidan faqat bitta so‘zni tashlab yubordi.

Direktiva va uzatish formati ikki xil narsa

Eski key-method parametri TLS kalit almashinuvi qanday ramkaga olinishini tanlardi, zamonaviy almashinuv esa o‘sha parametr bir paytlar talab qilgan ko‘p paketli usuldir. Parametr yo‘qoldi, chunki u endi hech narsani tanlamasdi; u nomlagan format yagona bo‘lib qoldi. Shuning uchun satrni olib tashlash sessiyani avvalgidek o‘sha ramkada qoldiradi. Matn tahriri buni hech bir yo‘nalishda o‘zgartira olmaydi.

Shu sababli «2-usulni tiklash» uchun eski binar faylni qaytarish noto‘g‘ri ta’mirlashdir. U eski standart qiymatlarga ega eski tahlil qiluvchidan boshqa hech narsani tiklamaydi va undan keyin kelgan tuzatishlardan mahrum qiladi. Xuddi shu mantiq sertifikat tekshiruvi yoki shifrlar ro‘yxatini zaiflashtirishga ham tegishli, aloqa qaytadi degan umidda.

Foydali tekshiruv versiya va tahlil qilingan konfiguratsiya, fayldagi so‘zning mavjudligi emas:

openvpn --version | head -n 1
grep -rn 'key-method' /etc/openvpn/ 2>/dev/null

Nimani olib tashlash kerak va qaysi fayldan

Ishlayotgan jarayon haqiqatan o‘qiydigan faylni tahrirlang va faqat o‘shani. Paketlangan tizimlarda bu odatda unit ko‘rsatgan mijoza yoki server katalogidagi profil, uy katalogingizda ma’lumot uchun saqlangan nusxa emas. Yaratilgan profil shablondan qayta qurilishi mumkin, shuning uchun faqat joylashtirilgan nusxada qilingan o‘zgarish keyingi provisioning yurgizuvidan keyin qaytadi.

Eskirgan satrni o‘chiring va oxirgi nuqta, sertifikatlar, shifr siyosati hamda boshqaruv kanali sozlamalarini o‘z holida qoldiring. Bular jarayonga kerak bo‘lgan qo‘llab-quvvatlanadigan parametrlar va tahlil xatosiga aloqador emas. Agar o‘sha profilda siz tanimaydigan boshqa direktivalar bo‘lsa, jarayon ishga tushguncha ularning guruhini o‘chirish o‘rniga har birini siz ishlatayotgan versiya bilan solishtiring.

So‘ng mo‘ljallangan nusxani ishga tushiring va uning ishga tushish chiqishini o‘qing. Tinglovchi mavjud bo‘lganda toza ishga tushish bu bosqich tugaganining tasdig‘i; keyingi mijoza sinovi boshqa savolga javob beradi.

Rad etilgan profil va rad etilgan mijoza bir xil ko‘rinadi

Ikki muvaffaqiyatsizlik o‘xshash qo‘llab-quvvatlash mavzularini tug‘diradi va turli dalillarni talab qiladi. O‘z konfiguratsiyasini rad etuvchi server hech qachon ishga tushmaydi, shuning uchun hech bir mijoza unga ulanmaydi. Yaxshi ishga tushib, bitta mijozani rad etuvchi server ishlayapti va uning jurnalida sabab bor: sertifikat muammosi, mijoza qabul qilmaydigan itarilgan parametr, shifr nomuvofiqligi.

Olib tashlangan parametr ikkinchi holat uchun tashxis emas va unga murojaat qilish o‘sha soatni ikki marta behuda o‘tkazadi. Agar mijoza jurnali serverning rad etishini ko‘rsatsa, o‘sha rad etishni o‘qing; agar mahalliy xatoni ko‘rsatsa, tekshiriladigan fayl mijoza profilidir. Endi mavjud bo‘lmagan direktivaga murojaat qilish ikkala tekshiruvni ham bir xilda kechiktiradi.

Satr hech qachon javob bermagan moslik savollari

Bu direktiva bilan aylanadigan profillar odatda muayyan platforma haqidagi hikoyani olib yuradi va hikoya texnik sababdan uzoqroq yashaydi. Mobil yoki ish stoli mijoza hali ham to‘liq qo‘llab-quvvatlanadigan profil ga muhtoj: ishonchli sertifikatlar zanjiri, ikki tomon qabul qiladigan ma’lumot shifri, ikki tomon joriy etadigan boshqaruv kanali rejimi va mijoza qurilmasi rad etmaydigan direktivalar. Bularning hech biri eski key-method satrining bor-yo‘qligi bilan hal qilinmaydi.

Siqish xuddi shu shakldagi alohida siyosat savoli. key-method satrini olib tashlash sizning joylashtiruvingizda siqish direktivasi qo‘llab-quvvatlanadimi yoki maqbulmi, bu haqda hech narsa demaydi va ikki qaror mustaqil qabul qilinishi kerak. Biror narsa ulanmaguncha bir necha xavfsizlikka oid sozlamani birdaniga o‘chirish ishlaydigan profilni izohsiz profilga aylantirish yo‘lidir.

Nimani va nima uchun olib tashlaganingiz haqida qisqa yozuv saqlang: parametr, uni rad etgan versiya va xatoni ko‘rsatgan buyruq. Profilni meros qilib oladigan keyingi odamga aynan shu uch fakt kerak bo‘ladi va ularni hozir yozib qo‘yish keyinroq qayta tiklashdan arzon.