OpenVPN data-ciphers məlumat kanalı şifrəsini necə seçir

Tunel qalxır, log bir şifrə göstərir və profil baxışı davam edir. Sonra tərəflərdən birinin yenilənməsi gəlir və eyni profil ortaq şifrə olmadığına dair mesajla uğursuz olur, bu da insanları silinəcək bir direktiv axtarmağa sövq edir. Anlamağa dəyər olan odur ki, data-ciphers parametr deyil, danışıq təsvir edir. Bir tərəf siyahı təklif edir, digəri ondan seçir və nəticə hər ikisinin dəstəklədiyi tək alqoritmdir. Bu mübadiləni oxumaq, hər hansı sətri dəyişməzdən əvvəl bu uğursuzluqların çoxunu izah edir.

İki kanal, iki konfiqurasiya

Bir OpenVPN sessiyasının idarəetmə kanalı və məlumat kanalı var. İdarəetmə kanalı tərəfləri autentifikasiya edən və açarları razılaşdıran TLS əl sıxışmasını işlədir. Məlumat kanalı trafikinizi daşıyan paketləri şifrələyir.

data-ciphers ikincisini konfiqurasiya edir. İdarəetmə kanalının öz seçimləri var və profilin kimlik yoxlamaları üçüncü, ayrı bir məsələdir. Birinə edilən dəyişiklik digərini düzəltmir, buna görə profil düzgün görünə bilər və yenə də müəyyən mərhələdə uğursuz ola bilər.

Konfiqurasiya faylını oxuyarkən bu üçü ayrı qutularda saxlayın.

Danışığı logdan oxuyun

Bağlantı uğurlu olduqda müştəri logu hər iki nəticəni adlandırır. Bir sətir idarəetmə kanalını və onun TLS təfərrüatlarını, digəri isə seçilmiş məlumat kanalı şifrəsini bildirir.

Hər ikisini oxuyun, çünki fərqli suallara cavab verirlər. İdarəetmə kanalındakı nasazlıq hər hansı məlumat şifrəsi əhəmiyyət kəsb etməzdən əvvəl bağlantını dayandırır. Məlumat kanalı uyğunsuzluğu uğurlu əl sıxışmasından sonra, ortaq şifrə olmadığına dair mesajla görünür.

Sonra hər iki tərəfdə təklif olunan siyahıları müqayisə edin. Bir tərəfin versiyası və ya kripto arxa planı təmin etmədiyi ad, digər tərəfin siyahısında nə qədər əvvəl görünsə də, seçilə bilməz.

Seçim əslində necə baş verir

Server əl sıxışması zamanı data-ciphers siyahısını müştəriyə göndərir və müştəri dəstəklədiyi ilk elementi bu siyahıdan seçir. Buna görə sıra müştərinin deyil, serverin konfiqurasiyasına aiddir.

Bu təfərrüat çaşdırıcı nəticələrin bir sinfini izah edir. Serverin siyahısı qərar verdiyi halda, müştərinin siyahısını yenidən sıralamaq heç nəyi dəyişmir. Müştərinin təmin edə bilmədiyi şifrəni əlavə etmək də heç nəyi dəyişmir, çünki müştəri seçdiyi elementi istifadə edə bilməlidir.

Daha yeni buraxılışlar standart siyahını dəyişdi və onu saxlayan seçimin adını dəyişdi, buna görə fərqli versiyalardakı iki tərəf heç kim profili redaktə etmədən fikir ayrılığına düşə bilər. Səhv yazı olduğunu düşünməzdən əvvəl hər tərəfdə versiyanı yoxlayın.

Siyahı abstrakt mənada güc reytinqi deyil. O, namizədlər toplusudur və seçilən serverin sırasındakı ilk qarşılıqlı dəstəklənən elementdir. Buna görə fərqli görünən iki siyahı eyni şifrəni razılaşdıra bilər. Eyni görünən iki siyahının uğursuz ola bilməsinin səbəbi də budur.

Köhnə tərəflərə qəsdən edilmiş ehtiyat variant lazımdır

Mexanizmdən əvvəl yarandığı və ya onu söndürdüyü üçün ümumiyyətlə danışıq apara bilməyən tərəfə sənədləşdirilmiş uyğunluq tənzimi lazımdır. Ehtiyat seçimi məhz bu hal üçün mövcuddur və danışıqda iştirak etməyən tərəflərə aiddir.

Bu, mesajı yox etmək üçün hər köhnə şifrəni aktivləşdirməklə eyni deyil. Geniş siyahı hər tərəf üçün sessiyanı zəiflədir, o cümlədən güclü bir şey razılaşdıracaq olanlar üçün.

Əlaqəsiz alqoritm adlarını redaktə etmək əvəzinə iki tərəfi koordinasiya edin. Əgər server yenilənməsi köhnə seçimi sildisə, düzəliş müştəridə tələsik axtarışda deyil, versiya planında olmalıdır.

Yoxlamanı toxunulmaz saxlayın

Məlumat kanalı uyğunsuzluğu yoxlanılmamış serveri qəbul etmək üçün səbəb deyil. Sertifikat yoxlaması, gözlənilən server adı və idarəetmə kanalının qorunma parametrləri şifrə seçimindən ayrıdır və istənilən uyğunluq dəyişikliyindən sonra da qalmalıdır.

Razılaşdırılmış məlumat şifrəsini, müştəri versiyasını və server versiyasını birlikdə qeyd edin ki, növbəti müqayisə profil faylından deyil, faktlardan başlasın.

Dəstəklənən düzəlişdən sonra ilkin bağlantını və yenidən danışığı yoxlayın, çünki bir dəfə qurulan sessiya açarlar yeniləndikdə yenə də uğursuz ola bilər.

Tunel qurulur, saytlar isə yenə də açılmırsa, şifrə artıq şübhəli deyil. Marşrutlaşdırma və DNS ilə davam edin. İş sırası: hər iki log sətrini oxuyun, hər iki siyahını müqayisə edin, versiyaları yoxlayın, ehtiyat variantı yalnız ona ehtiyacı olan tərəf üçün əlavə edin, sonra yenilənmə yolunu yenidən yoxlayın.