auth həzmi hansı OpenVPN paketlərini qoruyur?
auth seçimi profilin təklif etdiyindən daha azını əhatə edir. Həzm siyasəti qurmazdan əvvəl kanalı, AEAD halını və idarəetmə kanalının qorunmasını nəzərdən keçirin.
OpenVPN həzmləri ilə bağlı mübahisələrin çoxu səhv paketdən başlayır. auth SHA256 ifadəsini «yalnız SHA256 təklif edən həmyaşıdları qəbul et» kimi oxumaq ilk unudulmalı şeydir. Seçim müəyyən paketlər üçün həzm adlandırır və bunların hansı paketlər olduğu kanaldan və həmin kanalın AEAD olub-olmamasından asılıdır. Aşağıdakı dörd sualı sıra ilə işləyin; hər biri parametrin yerləşdirmənizdə nə məna verə biləcəyini daraldır.
Parametrin qorumalı olduğu kanalı adlandırın
OpenVPN TLS əl sıxma trafikini daşıyan idarəetmə kanalına və tunelin yükünü daşıyan məlumat kanalına malikdir. auth həzminin hər ikisində rolu var, lakin eyni rol deyil və profil fərqi nadir hallarda görünən edir. Konfiqurasiya faylına toxunmazdan əvvəl hansını məhdudlaşdırmaq istədiyinizi yazın.
Aşağıdakı cədvəl eyni seçimin hər kontekstdə necə yer aldığının qısa variantıdır.
| Context | What the auth digest does |
|---|---|
| Data channel without AEAD | Selects the HMAC digest that authenticates each data packet |
| Data channel with AEAD, such as GCM | Unused for the data channel; the cipher authenticates its own packets |
| Control channel protected by tls-auth | Selects the HMAC digest for that protection, even when data is AEAD |
Məlumat kanalının AEAD olub-olmadığını ona güvənməzdən əvvəl yoxlayın
Razılaşdırılmış məlumat şifri AES-GCM və ya CHACHA20-POLY1305-dirsə, məlumat kanalı özünü autentifikasiya edir və ayrı həzm təsəvvür etdiyiniz işi görmür. İkisi də AEAD quruluşudur, ona görə bütövlük yükü şifrələyən əməliyyatın özü tərəfindən yaradılır. Bu, səviyyə itkisi deyil, amma o deməkdir ki, «hər məlumat paketi HMAC-SHA256-dır» kimi əsaslandırılan siyasət həmin tuneldə faktiki olaraq səhvdir. Siyasəti yenidən yazmazdan əvvəl razılaşdırılmış dəyəri server jurnalında və ya müştəri status çıxışında təsdiqləyin.
Profildəki siyahıdan çox, faktiki razılaşdırılmış şifrəni yoxlayın, çünki razılaşma çoxluğun başqa üzvünə düşə bilər. data-ciphers AES-256-GCM:AES-128-GCM razılaşma siyahısıdır və hər iki giriş AEAD-dir, ona görə heç biri yük qorunması üçün auth həzmini istifadə etmir.
İdarəetmə kanalının qorunmasını ayrı qərar kimi qəbul edin
tls-auth idarəetmə kanalı paketlərinə HMAC əlavə edir və həzmini auth parametrindən götürür; buna görə AEAD tunelində də mənalı həzm konfiqurasiya edilə bilər. tls-crypt öz sabit qorunması olan fərqli bir quruluşdur, ona görə onun hər tls-auth xassəsini miras aldığını düşünməyin. Fərziyyələri aralarında köçürmək əvəzinə seçdiyiniz mexanizmin sənədlərini oxuyun.
İki həmyaşıd həm quruluş, həm də açar istiqaməti barədə razılaşmalıdır. Uyğun gələn həzm, lakin səhv istiqamətdə istifadə olunan açar faylı həzm parametrinin izah edə bilmədiyi səbəblərə görə uğursuz olan əl sıxma yaradır.
auth-u şifr razılaşmasından və sertifikatlardan ayrı saxlayın
Üç parametr daim qarışdırılır: auth həzmi, məlumat şifrələri siyahısı və sertifikatın imza alqoritmi. Birincini dəyişmək sertifikatı yenidən vermir, onun imza həzmini seçmir və istifadəçi-parol üsulu yaratmır. Protokol seçimi tərifləri OpenVPN 2.6 mənbələrində hər birini öz bölməsində təsvir edir, bu da onların müstəqil düymələr olduğunu faydalı xatırladır.
Həzm dəyişikliyindən sonra həmyaşıd qoşulmaqdan imtina edirsə, səbəb adətən digər iki parametrdən birində uyğunsuzluqdur. Hər hansı birini dəyişməzdən əvvəl hər iki tərəfi oxuyun.
Siyasəti yazın və işləyən konfiqurasiyalarla müqayisə edin
Donanma səviyyəli bəyanat icazə verilən məlumat kanalı rejimlərini və seçilmiş idarəetmə kanalı qorunmasını eyni cümlədə açıq şəkildə adlandırmalıdır. O cümlə yoxlanıla biləndir; «biz SHA256 istifadə edirik» deyil. Sonra onu repozitoriyadakı şablonla deyil, faktiki server və müştəri profilləri ilə müqayisə edin.
Hər tunelin faktiki nə razılaşdırdığını və paketlərini hansı mexanizmin autentifikasiya etdiyini qeyd edərək bitirin. Profildə görünən auth sətri yalnız konfiqurasiya niyyətinin sübutudur və niyyət yoxlamanın ən ucuz hissəsidir.