Kako OpenVPN data-ciphers bira šifru podatkovnog kanala

Tunel se podiže, log prikazuje šifru i pregled profila ide dalje. Zatim stiže nadogradnja na jednoj strani i isti profil pada uz poruku da nema zajedničke šifre, što ljude šalje u lov na direktivu koju treba obrisati. Korisno je razumjeti da data-ciphers opisuje pregovaranje, a ne postavku. Jedna strana nudi listu, druga bira iz nje, a rezultat je jedan algoritam koji obje podržavaju. Čitanje te razmjene objašnjava većinu ovih kvarova prije nego što promijenite i jednu liniju.

Dva kanala, dvije konfiguracije

Jedna OpenVPN sesija ima kontrolni kanal i podatkovni kanal. Kontrolni kanal vodi TLS rukovanje koje autentificira partnere i dogovara ključeve. Podatkovni kanal šifrira pakete koji nose vaš promet.

data-ciphers konfigurira drugi. Kontrolni kanal ima svoje opcije, a provjere identiteta profila treća su, odvojena stvar. Promjena na jednom ne popravlja drugo, zbog čega profil može izgledati ispravno i ipak pasti u određenoj fazi.

Držite ta tri u odvojenim kutijama kad čitate konfiguracijsku datoteku.

Pročitajte pregovaranje iz loga

Klijentski log navodi oba rezultata kad veza uspije. Jedan redak izvještava o kontrolnom kanalu i njegovim TLS detaljima, a drugi o odabranoj šifri podatkovnog kanala.

Pročitajte oba, jer odgovaraju na različita pitanja. Neuspjeh kontrolnog kanala zaustavlja vezu prije nego što ijedna podatkovna šifra postane važna. Nesklad podatkovnog kanala pojavljuje se nakon uspješnog rukovanja, uz poruku da nema zajedničke šifre.

Zatim uporedite ponuđene liste na obje strane. Ime koje verzija jednog partnera ili njegov kripto pozadinski sloj ne pruža ne može se odabrati, bez obzira na to koliko rano se pojavljuje na listi drugog partnera.

Kako odabir zapravo funkcionira

Server gura svoju data-ciphers listu klijentu tijekom rukovanja, a klijent odabire prvi unos na toj listi koji i sam podržava. Redoslijed stoga pripada konfiguraciji servera, a ne klijenta.

Taj detalj objašnjava klasu zbunjujućih rezultata. Promjena redoslijeda klijentske liste ne mijenja ništa dok odlučuje serverova lista. Dodavanje šifre koju klijent ne može pružiti također ne mijenja ništa, jer klijent mora moći koristiti unos koji odabere.

Novija izdanja promijenila su zadanu listu i preimenovala opciju koja ju je držala, pa se dva partnera na različitim verzijama mogu ne slagati bez da iko uređuje profil. Provjerite verziju na svakoj strani prije nego pretpostavite tipfeler.

Lista nije rangiranje snage u apstraktnom smislu. To je skup kandidata, a odabrani je prvi uzajamno podržani unos u redoslijedu servera. Zato dvije liste koje izgledaju različito mogu dogovoriti istu šifru. Zato i dvije liste koje izgledaju identično mogu pasti.

Stariji partneri trebaju namjernu rezervnu opciju

Partner koji uopće ne može pregovarati, jer je stariji od mehanizma ili ga je isključio, treba dokumentiran aranžman kompatibilnosti. Rezervna opcija postoji upravo za taj slučaj i primjenjuje se na partnere koji ne sudjeluju u pregovaranju.

To nije isto kao omogućavanje svake naslijeđene šifre da bi poruka nestala. Široka lista slabi sesiju za svakog partnera, uključujući one koji bi dogovorili nešto jako.

Uskladite dvije strane umjesto da uređujete nepovezana imena algoritama. Ako je nadogradnja servera uklonila staru opciju, popravak pripada planu verzija, a ne užurbanoj akciji na klijentu.

Sačuvajte provjeru netaknutom

Nesklad podatkovnog kanala nije razlog da prihvatite neprovjereni server. Provjera certifikata, očekivano ime servera i postavke zaštite kontrolnog kanala odvojeni su od odabira šifre i trebaju preživjeti svaku promjenu kompatibilnosti.

Zabilježite dogovorenu podatkovnu šifru, verziju klijenta i verziju servera zajedno, da sljedeća usporedba počne od činjenica, a ne od datoteke profila.

Nakon podržanog ispravka isprobajte početnu vezu i ponovno pregovaranje, jer sesija koja se jednom uspostavi ipak može pasti kad se ključevi obnove.

Ako se tunel uspostavi, a stranice i dalje ne rade, šifra više nije osumnjičena. Nastavite s usmjeravanjem i DNS-om. Redoslijed rada: pročitajte oba log retka, uporedite obje liste, provjerite verzije, dodajte rezervnu opciju samo partneru koji je treba, pa ponovno testirajte put obnove.