Hoe OpenVPN data-ciphers die datakanaal-syfer kies

Die tonnel kom op, die log wys 'n syfer, en die profieloorsig skuif aan. Dan land daar 'n opgradering by 'n eweknie en dieselfde profiel misluk met 'n boodskap oor geen gedeelde syfer nie, wat mense op soek laat gaan na 'n riglyn om te verwyder. Die nuttige ding om te verstaan is dat data-ciphers 'n onderhandeling beskryf, nie 'n instelling nie. Een kant bied 'n lys aan, die ander kies daaruit, en die resultaat is 'n enkele algoritme wat albei ondersteun. Deur daardie uitruiling te lees, verklaar jy die meeste van hierdie mislukkings voordat jy 'n reël verander.

Twee kanale, twee konfigurasies

'n OpenVPN-sessie het 'n beheerkanaal en 'n datakanaal. Die beheerkanaal voer die TLS-handdruk uit wat die eweknieë verifieer en sleutels onderhandel. Die datakanaal enkripteer die pakkette wat jou verkeer dra.

data-ciphers konfigureer die tweede een. Die beheerkanaal het sy eie opsies, en die profiel se identiteitskontroles is 'n derde, aparte saak. 'n Verandering aan die een maak nie die ander reg nie, en daarom kan 'n profiel korrek lyk en steeds by 'n spesifieke stadium misluk.

Hou die drie in hul eie boksies wanneer jy 'n konfigurasielêer lees.

Lees die onderhandeling uit die log

Die kliënt se log noem albei resultate wanneer die verbinding slaag. Een reël rapporteer die beheerkanaal en sy TLS-besonderhede, en 'n ander rapporteer die datakanaalsyfer wat gekies is.

Lees albei, want hulle beantwoord verskillende vrae. 'n Fout in die beheerkanaal stop die verbinding voordat enige datasyfer saak maak. 'n Datakanaal-wanpassing verskyn ná 'n suksesvolle handdruk, met 'n boodskap oor geen gedeelde syfer nie.

Vergelyk dan die aangebode lyste aan albei kante. 'n Naam wat een eweknie se weergawe of kripto-agterkant nie verskaf nie, kan nie gekies word nie, maak nie saak hoe vroeg dit in die ander eweknie se lys voorkom nie.

Hoe die keuse werklik plaasvind

Die bediener stoot sy data-ciphers-lys tydens die handdruk na die kliënt, en die kliënt kies die eerste inskrywing in daardie lys wat hy ook ondersteun. Die volgorde hoort dus by die bediener se konfigurasie, nie by die kliënt s'n nie.

Daardie besonderheid verklaar 'n klas verwarrende resultate. Om die kliënt se lys te herrangskik verander niks terwyl die bediener se lys besluit nie. Om 'n syfer by te voeg wat die kliënt nie kan verskaf nie, verander ook niks, want die kliënt moet die inskrywing wat hy kies, kan gebruik.

Nuwer weergawes het die versteklys verander en die opsie hernoem wat dit vroeër bevat het, so twee eweknieë op verskillende weergawes kan verskil sonder dat iemand 'n profiel wysig. Kyk na die weergawe aan elke kant voordat jy 'n tikfout vermoed.

'n Lys is nie in die abstrakte 'n rangorde van sterkte nie. Dit is 'n stel kandidate, en die gekose een is die eerste onderling ondersteunde inskrywing in die bediener se volgorde. Daarom kan twee lyste wat anders lyk, dieselfde syfer onderhandel. Dit is ook waarom twee lyste wat identies lyk, kan misluk.

Ouer eweknieë het 'n doelbewuste terugval nodig

'n Eweknie wat glad nie kan onderhandel nie, omdat dit ouer as die meganisme is of dit afgeskakel het, het 'n gedokumenteerde versoenbaarheidsreëling nodig. Die terugval-opsie bestaan juis vir daardie geval en geld vir eweknieë wat nie aan die onderhandeling deelneem nie.

Dit is nie dieselfde as om elke ou syfer te aktiveer om 'n boodskap te laat verdwyn nie. 'n Breë lys verswak die sessie vir elke eweknie, insluitend diegene wat iets sterk sou onderhandel het.

Koördineer die twee kante eerder as om onverwante algoritmename te wysig. As 'n bediener-opgradering 'n ou opsie verwyder het, hoort die regstelling in die weergaweplan, nie in 'n geskarrel by die kliënt nie.

Hou die verifiëring ongeskonde

'n Datakanaal-wanpassing is nie 'n rede om 'n ongeverifieerde bediener te aanvaar nie. Sertifikaatverifiëring, die verwagte bedienernaam en die beheerkanaal se beskermingsinstellings is apart van die syferkeuse en moet enige versoenbaarheidsverandering oorleef.

Teken die onderhandelde datasyfer, die kliëntweergawe en die bedienerweergawe saam aan, sodat die volgende vergelyking by feite begin eerder as by die profiellêer.

Test ná 'n ondersteunde regstelling die aanvanklike verbinding en 'n heronderhandeling, want 'n sessie wat een keer tot stand kom, kan steeds misluk wanneer sleutels hernu word.

As die tonnel tot stand kom en werwe steeds misluk, is die syfer nie meer die verdagte nie. Gaan voort met roetering en DNS. Volgorde van werk: lees albei logreëls, vergelyk albei lyste, kyk na weergawes, voeg 'n terugval net by vir 'n eweknie wat een nodig het, en toets dan weer die hernuwingsroete.