Як OpenVPN data-ciphers выбірае шыфр канала даных

Тунэль падымаецца, журнал паказвае шыфр, і агляд профілю працягваецца. Потым да партнёра прыходзіць абнаўленне, і той жа профіль падае з паведамленнем пра адсутнасць агульнага шыфра, што адпраўляе людзей шукаць дырэктыву, якую трэба выдаліць. Карысна разумець, што data-ciphers апісвае перамовы, а не наладу. Адзін бок прапануе спіс, другі выбірае з яго, і вынікам з'яўляецца адзіны алгарытм, які падтрымліваюць абодва. Чытанне гэтага абмену тлумачыць большасць такіх збояў, перш чым вы зменіце радок.

Два каналы, дзве канфігурацыі

Адна OpenVPN сесія мае кіравальны канал і канал даных. Кіравальны канал выконвае рукапоціск TLS, які аўтэнтыфікуе партнёраў і дамаўляецца пра ключы. Канал даных шыфруе пакеты, якія пераносяць ваш трафік.

data-ciphers канфігуруе другі. Кіравальны канал мае ўласныя параметры, а праверкі ідэнтычнасці профілю — трэцяя, асобная справа. Змена аднаго не выпраўляе другое, таму профіль можа выглядаць правільным і ўсё ж пацярпець няўдачу на пэўным этапе.

Трымайце гэтыя тры ў асобных скрынях, калі чытаеце файл канфігурацыі.

Прачытайце перамовы з журнала

Журнал кліента называе абодва вынікі, калі злучэнне ўдаецца. Адзін радок паведамляе пра кіравальны канал і яго падрабязнасці TLS, а другі — пра выбраны шыфр канала даных.

Прачытайце абодва, бо яны адказваюць на розныя пытанні. Збой кіравальнага канала спыняе злучэнне раней, чым любы шыфр даных стане важным. Няўзгодненасць канала даных з'яўляецца пасля паспяховага рукапоціску, з паведамленнем пра адсутнасць агульнага шыфра.

Затым параўнайце прапанаваныя спісы з абодвух бакоў. Імя, якое версія аднаго партнёра або яго крыптаграфічная аснова не дае, нельга выбраць, незалежна ад таго, як рана яно з'яўляецца ў спісе іншага партнёра.

Як выбар адбываецца насамрэч

Сервер штурхае свой спіс data-ciphers кліенту падчас рукапоціску, і кліент выбірае першы запіс у гэтым спісе, які ён таксама падтрымлівае. Такім чынам, парадак належыць канфігурацыі сервера, а не кліента.

Гэтая падрабязнасць тлумачыць клас заблытаных вынікаў. Змена парадку спісу кліента нічога не змяняе, пакуль вырашае спіс сервера. Даданне шыфра, які кліент не можа прадаставіць, таксама нічога не змяняе, бо кліент павінен умець выкарыстаць выбраны запіс.

Новыя выпускі змянілі прадвызначаны спіс і пераназвалі параметр, які раней яго ўтрымліваў, таму два партнёры на розных версіях могуць не пагадзіцца, не рэдагуючы профіль. Праверце версію з кожнага боку, перш чым меркаваць друкарскую памылку.

Спіс не з'яўляецца рэйтынгам сілы ў абстрактным сэнсе. Гэта набор кандыдатаў, і выбраны — першы ўзаемна падтрыманы запіс у парадку сервера. Таму два спісы, якія выглядаюць па-рознаму, могуць дамовіцца пра адзін шыфр. Таму ж два спісы, якія выглядаюць аднолькава, могуць пацярпець няўдачу.

Старыя партнёры патрабуюць наўмыснага запаснога варыянту

Партнёр, які зусім не можа весці перамовы, бо старэйшы за механізм або адключыў яго, мае патрэбу ў дакументаванай дамоўленасці сумяшчальнасці. Запасны параметр існуе менавіта для такога выпадку і датычыцца партнёраў, якія не ўдзельнічаюць у перамовах.

Гэта не тое ж самае, што ўключэнне кожнага старога шыфра, каб паведамленне знікла. Шырокі спіс аслабляе сесію для кожнага партнёра, уключаючы тых, хто дамовіўся б пра нешта моцнае.

Узгадніце абодва бакі замест таго, каб рэдагаваць незвязаныя назвы алгарытмаў. Калі абнаўленне сервера выдаліла стары параметр, выпраўленне належыць плану версій, а не тлуму на кліенце.

Захавайце праверку цэлай

Няўзгодненасць канала даных не прычына прымаць непацверджаны сервер. Праверка сертыфіката, чаканае імя сервера і налады абароны кіравальнага канала аддзеленыя ад выбару шыфра і павінны перажыць любую змену сумяшчальнасці.

Запішыце разам дамоўлены шыфр даных, версію кліента і версію сервера, каб наступнае параўнанне пачалося з фактаў, а не з файла профілю.

Пасля падтрыманага выпраўлення праверце пачатковае злучэнне і паўторныя перамовы, бо сесія, якая ўсталёўваецца аднойчы, можа ўсё яшчэ пацярпець няўдачу пры абнаўленні ключоў.

Калі тунэль усталёўваецца, а сайты ўсё яшчэ не працуюць, шыфр больш не падазроны. Працягвайце з маршрутызацыяй і DNS. Парадак працы: прачытайце абодва радкі журнала, параўнайце абодва спісы, праверце версіі, дадайце запасны варыянт толькі партнёру, якому ён патрэбны, і затым зноў праверце шлях абнаўлення.