Komprese v OpenVPN: odmítnout, jen přijímat, nebo plný LZO?
comp-lzo no není striktní odmítnutí. Porovnejte odmítnutí komprese, jednostranné přijímání během migrace a její zachování, a pak zkontrolujte, co dělá offload.
Tři řádky v profilu vypadají, jako by všechny vypínaly kompresi, a skutečně to dělá jen jeden z nich. Rozdíl je důležitý, protože varování, které chcete umlčet, je symptom, kdežto politika rozhoduje o tom, zda protějšek ještě může komprimovat. Srovnání možností na jedné ose, tedy co každá po změně dovoluje, odstraňuje většinu nejasností. Kterou chcete, závisí na tom, zda migrujete, nebo se usazujete.
Tři politiky, které v konfiguračním souboru vypadají podobně
Každá možnost odpovídá na jinou otázku. allow-compression no odmítá komprimované datové části rovnou, allow-compression asym dekomprimuje to, co přichází, a nikdy nekomprimuje to, co odchází, a starý comp-lzo no ponechává prostor, aby push protějšku kompresi zapnul. Jen první je politika, kterou server nemůže přebít.
Než začnete vybírat, napište ty tři do tabulky, protože názvy jsou dost blízké na to, aby zmátly recenzenta. Dvě z nich stále spouštějí dekompresní kód na přijatých paketech, a právě o to jde v bezpečnostním argumentu. Třetí schopnost odstraňuje, místo aby omezovala její směr. Pokud záznam o změně říká, že komprese je vypnutá, přesně jeden řádek té větě odpovídá.
Varování, které vyšetřování spustilo, není cíl. Umlčet ho a přitom ponechat permisivní politiku vede k čistému logu a nezměněné expozici.
| Setting | What it permits | When it is the right answer |
|---|---|---|
allow-compression no | No compressed payloads, and no compression framing under offload | Both ends can be changed now |
allow-compression asym | Decompress inbound only | A dated migration while peers catch up |
comp-lzo no | Off locally, still pushable by a peer | Legacy compatibility you can still justify |
Co znamená no u staré volby LZO
U zastaralé volby LZO vypíná no kompresi na místní straně, aniž by protějšku zakazovalo ji zapnout tam, kde to politika dovoluje. Kvůli této asymetrii mění přesun profilu na striktní odmítnutí chování způsoby, které laboratorní test s jediným serverem nemusí nikdy odhalit.
Bezpečnostní obava je podmíněná, nikoli absolutní. Když útočník může umístit zvolený otevřený text vedle tajemství a sledovat, jak komprese mění velikost šifrovaného provozu, existuje informační kanál. Přechod z LZO na LZ4 mění algoritmus a rámování, ne ten mechanismus.
Poctivé vymezení se tedy týká toho, co jste ochotni dovolit, ne toho, který algoritmus se právě doporučuje. Striktní odmítnutí je jediná možnost, která nezávisí na spolupráci druhého konce.
Pouhé přijímání je stav migrace, ne cíl
Asymetrické přijímání existuje proto, aby jedna strana mohla přestat komprimovat, zatímco druhá to ještě očekává. Je to most a mosty potřebují datum konce a vlastníka. Zaznamenejte, kteří partneři ještě posílají komprimovaný provoz, protože politika dovoluje právě takový provoz. Bez toho seznamu se stav migrace setrvačností stane trvalou konfigurací.
Klient nemůže přinutit nekompatibilní server, aby opustil staré rámování, tím, že upraví svůj vlastní soubor. Směr push se rozhoduje na serveru, takže migrace skutečně končí v konfiguraci serveru a v jeho souborech pro jednotlivé klienty.
Stub režimy zachovávají rámování a přeskakují samotnou práci komprese, a nejsou přímým ekvivalentem starší volby. Otestujte je proti nejstaršímu partnerovi, kterého ještě musíte podporovat, než se pro některý rozhodnete.
Kde offload datového kanálu mění odpověď
Offload datového kanálu přesouvá zpracování paketů do jádra a profil, který stále závisí na rámování komprese, se do této cesty nemusí vejít. Selhání nebývá hlasité: klient se připojí a pak se chová jinak než tunel, který jste testovali.
Zkontrolujte, která implementace je aktivní před změnou a po ní, ne jen zda se spojení podaří. Když cesta s offloadem odmítá rámování komprese, striktní politika odmítnutí a nasazení s offloadem si odpovídají, zatímco permisivní politika a nasazení s offloadem ne.
Tato kombinace si zaslouží vlastní test, protože právě tam soubor, který vypadá správně, tiše není ten, který se používá. Porovnejte vyjednaný stav se záměrem zaznamenaným v profilu, protože jen jeden z nich je v logu vidět.
Vyberte politiku a pak ověřte vyjednaný výsledek
Zvolte striktní odmítnutí, když můžete změnit oba konce, asymetrické přijímání, když to ještě nejde, a plnou kompresi jen tehdy, když dokážete říct, proč je expozice přijatelná. Pak ověřte, co bylo vyjednáno, ne co říká soubor. Tišší log je důkazem jen tehdy, když odpovídá politice, kterou jste chtěli nasadit.
Držte rozhodnutí u profilu, na který se vztahuje, s datem a partnery, kteří jsou dosud vyjmuti. Za půl roku je ta poznámka rozdílem mezi záměrnou výjimkou a nehodou, kterou nikdo nedokáže datovat. Napište ji do stejného repozitáře jako profil, aby další editor viděl důvod dřív než direktivu.