Eski VPN profillaridagi eskirgan shifrlash satrlari: ko‘chirishdan oldin o‘qing

Bu profil 2016 yilda yozilgan va u hanuz import qilinadi va hanuz ulanadi. Aynan shu sababli hech kim unga qaramaydi. Bu ko‘rsatmalarni bir paytlar o‘qigan klient allaqachon ketgan, va hozirgi build ularning bir nechtasini boshqacha talqin qilishi mumkin.

Faylning saqlanib qolishi konfiguratsiya dolzarb ekanini bildirmaydi. Bu ikki fikrni ajratish ishning katta qismidir.

Profilni qaysi klient yozganini aniqlang

Nashriyotchi va versiyadan boshlang. Ko‘rsatmaning ma’nosi uni o‘qiydigan amalga oshirish tomonidan belgilanadi. Bir paytlar algoritm tanlagan satr zaxira ro‘yxati, ogohlantirish yoki qat’iy xatoga aylanishi mumkin. Qaysi nashr uni talqin qilishi natijani hal qiladi.

OpenVPN eng yorqin misol. 2.5 versiyasi data-ciphers ni kiritdi va eski cipher ko‘rsatmasining muzokaralarda qanday qatnashishini o‘zgartirdi. Faqat cipher AES-128-CBC ni olib yurgan profil endi muallifi niyat qilganidan ancha tor taklif beradi.

Endi ogohlantiradigan yoki muvaffaqiyatsiz bo‘ladigan sozlama uchun nashr eslatmalarini o‘qing. Jurnaldagi ogohlantirish hozirgi build haqidagi fakt bo‘lib, satr nima uchun qo‘shilgani haqidagi har qanday xotiradan og‘irroq.

Aslida nima kelishilganini ko‘ring

Muvaffaqiyatli import tahlilni isbotlaydi, siyosatni emas. Kelishilgan natija ulanish ko‘tarilgandan keyin klient jurnalida paydo bo‘ladi. U konfiguratsiya faylining ikkala uchidan farq qilishi mumkin.

# OpenVPN: what did this session agree on?
sudo journalctl -u openvpn-client@office --since '5 min ago' | grep -i 'cipher\|Data Channel'

# which directives does the profile actually carry?
grep -n -E 'cipher|auth|tls-|dh ' office.ovpn

Ko‘rsatmani jimgina tashlab yuboradigan qabul qilingan import bir xilda o‘qiladigan, ammo boshqacha xatti-harakat qiladigan profil qoldiradi. Aynan shu bo‘shliq qotiqlashtirilgan deb belgilangan hujjat o‘z matni da’vo qilganidan kuchsizroq narsani nima uchun kelishishini tushuntiradi. Jurnal farq ko‘rinadigan yagona joy. Faylga ishonishdan oldin uni o‘qing.

Satrni emas, tartibni yangilang

Operator saqlaydigan profilni oling, import shikoyat qilishni to‘xtatguncha algoritm nomlarini yig‘ish o‘rniga. Sinov bilan satr qo‘shish tuzatish yo‘nalishini teskari aylantiradi. U server nimani qo‘llab-quvvatlashini aniqlash o‘rniga klientni noma’lum serverga moslashtiradi.

Serverga ham muvofiqlashtirilgan yangilanish kerak bo‘lishi mumkin. Hozirgi klient narigi tomon hech qachon taklif qilmaydigan taklifga qo‘llab-quvvatlash yarata olmaydi. Klient tomonidagi hech bir variant yangilanmagan shlyuzni almashtirmaydi.

Bevosita qurbon qilinmasligi kerak bo‘lgan narsa tekshiruvdir. Sertifikat tekshiruvlarini olib tashlash, xost nomi tekshiruvini o‘chirish yoki eski profilni tirik saqlash uchun yangilanishlarni o‘chirish moslik muammosini ishonch muammosiga aylantiradi. Bu odatda bir vaqtning o‘zida bitta kichik tahrir bilan sodir bo‘ladi.

Natijani tasdiqlang va istisnoni qayd eting

O‘zgarishdan keyin kelishilgan to‘plamni yana ko‘zdan kechiring va tunnel mavjud bo‘lgan resursni sinab ko‘ring. Ko‘zlagan narsangizni kelishib, baribir xizmatga yetib bormaydigan profilda marshrutlash yoki identifikatsiya muammosi bor. Unda kriptografik muammo yo‘q.

Oldingi ma’lum yaxshi konfiguratsiyani himoyalangan joyda saqlang. Taqqoslash faqat eski fayl hali mavjud bo‘lganda mumkin.

Har qanday moslik istisnosini egasi va ko‘rib chiqish sanasi bilan hujjatlashtiring. Egasi yo‘q vaqtinchalik tartib doimiy siyosatga aylanadi. Faylni keyingi o‘qigan kishi u ataylab tanlangan deb o‘ylaydi.