AES-256-GCM tapılmadı: müştəri imkanı, yoxsa razılaşma?

Başqa yerdə işləyən OpenVPN profili AES-256-GCM tapılmadığını və ya tərəflərin ortaq şifrəsi olmadığını bildirir və ilk instinkt profili redaktə etməkdir. Bu iki mesaj fərqli uğursuzluqları təsvir edir. Biri yerli proqramın belə alqoritmi olmadığını, digəri hər iki tərəfin alqoritmləri olduğunu, amma ortaq seçim olmadığını deyir. Hansının sizdə olduğunu bilməyincə profil redaktəsi heç birini həll etmir.

Dəqiq xəta mətnini və onu yaradan binary faylını oxuyun.

Hansı xətanın sizdə olduğunu müəyyən edin

Tapılmayan şifrə barədə mesaj hər hansı paket göndərilməzdən əvvəl yerli maşında seçim təhlilindən gəlir. Bu, qarşınızdakı icra faylının və ya onun bağlandığı kitabxananın həmin alqoritmi təqdim etmədiyi deməkdir. Ortaq şifrə olmadığı barədə mesaj sonra, razılaşma zamanı gəlir və hər iki tərəfin şifrələri dəstəklədiyini, amma birində razılaşa bilmədiyini bildirir.

Fərq vacibdir, çünki biri proqram versiyası, digəri konfiqurasiya problemidir. Birincisi versiya nömrəsi ilə həll olunur. İkincisi iki siyahının müqayisəsi ilə həll olunur.

Yerli imkan boşluğu

Köhnə icma buraxılışları müasir standartlardan əvvəldir və masaüstü tətbiqi yanında quraşdırılmış əmr sətri paketindən fərqlənən öz mühərrikini gətirə bilər. Yoxlamaları əlaqəni həqiqətən başladan icra faylında aparın, sonra köhnə proqrama yeni alqoritm öyrətmək əvəzinə dəstəklənən buraxılış seçin.

openvpn --version
openvpn --show-ciphers | grep -i gcm
openvpn --show-tls | head -5

Əgər AES-256-GCM həmin siyahıda yoxdursa, heç bir profil sətri onu əlavə etməyəcək. Həll daha yeni müştəri və ya başqa buraxılışdır və köhnə tərəfin məhdudiyyətləri ayrı dizayn sualına çevrilir.

OpenVPN 3 əsaslı müştərilərdə mühərrik və qəbul edilən direktivlər icma 2.x xəttindən fərqlənir, ona görə eyni profil mətni şifrə siyahısı ilə heç bir əlaqəsi olmayan səbəblərdən uğursuz ola bilər.

Razılaşma boşluğu

Hər iki tərəf alqoritmi sadaladıqda qalan sual hansı siyahının təqdim edildiyidir. İcma OpenVPN razılaşma direktivinin adını dəyişdi: 2.4-də ncp-ciphers 2.5-də data-ciphers oldu və 2.6-da köhnə cipher sətri əsasən uyğunluq və ehtiyat üçün xidmət edir, razılaşdırılmış dəsti müəyyən etmək üçün deyil.

Buna görə yalnız köhnə cipher sətrini dəyişmək razılaşma siyahısını toxunulmaz qoya bilər. Köhnə sətir ehtiyat üçün hələ də vacibdir və bu ayrı işdir. İkisini qarışdırmaq görünən heç nəyi dəyişməyən redaktələr yaradır.

openvpn --version | head -2
grep -n -E '^(data-ciphers|ncp-ciphers|cipher|tls-cipher)' server.conf client.ovpn

Hər iki ucun siyahılarını və serverin rədd mesajını müqayisə edin. Kəsişmə boşdursa, başqa versiya üçün yazılmış yazıdan dəyər kopyalamaq əvəzinə siyahıları qəsdən uyğunlaşdırın. Çox geniş siyahı hər əlaqəni səssizcə zəiflədir. Çox dar siyahı saxlamaq istədiyiniz tərəfi kənarlaşdırır.

Uyğunluğu açıq saxlayın

Bir köhnə tərəf üçün ehtiyat xərci olan qərardır: bütün yerləşdirmə bir cihaz qoşulsun deyə zəif variantı qəbul edir. Bunu belə yazın və yalnız ehtiyacı olan tərəflə məhdudlaşdırın.

Nəticəni iki şərt həll edir. Xəta yerli olduqda buraxılışı dəyişin. Xəta razılaşmada olduqda hər iki tərəfdə siyahıları uyğunlaşdırın və hansı versiyaları dəstəklədiyinizi qeyd edin.

Sonra dəqiq xətanı versiya və imkan çıxışı ilə birlikdə bildirin. Bu cüt çatışmayan alqoritmi fikir ayrılığından ayırır və növbəti təxmini redaktə mərhələsini başlamazdan əvvəl dayandırır.