Ffeil DH neu allwedd tls-auth? Gwahaniaethu rhwng dwy ffeil OpenVPN

Dwy ffeil, dwy gyfarwyddeb, a'r arfer o enwi'r ddwy ar ôl y peth maen nhw'n ei ffurfweddu. Dyna sut mae dh.pem yn glanio ar linell tls-auth ac mae'r cleient yn methu â neges am fformat allwedd annisgwyl. Nid y penderfyniad o'ch blaen yw pa ffeil sy'n gryfach. Y peth yw pa rôl sydd ei hangen ar y defnydd, a thri amod sy'n ei setlo: pa gyfnewid allweddi y bydd eich stac TLS yn ei drafod, a ydych am ddilysu'r sianel reoli o gwbl, ac a oes rhaid i'r deunydd aros yn gyfrinachol.

Atebwch y rheini yn eu trefn a bydd cwestiwn y ffeil yn ateb ei hun. Eu hanwybyddu a bydd enwau'r cyfarwyddebau'n dechrau edrych yn gyfnewidiol, sef yn union y cyflwr y daw'r camgymeriad ohono.

Darllenwch y label cyn enw'r ffeil

Mae llinell gyntaf y ffeil yn fwy addysgiadol na'i henw, oherwydd arfer dynol yw enw a'r offeryn sy'n cynhyrchu'r label. Mae paramedrau Diffie-Hellman yn cario label PEM BEGIN DH PARAMETERS. Mae allwedd statig OpenVPN yn strwythur hollol wahanol, gyda'i phennawd a'i lwyth hecs ei hun.

Nid yw ailenwi'n trosi dim. Mae ffeil paramedrau o'r enw ta.key yn parhau'n baramedrau, ac mae allwedd statig o'r enw dh.pem yn parhau'n allwedd statig; mae'r dosrannu yn darllen y cynnwys ac yn gwrthod yr anghysondeb. Gwiriwch cyn i chi olygu'r proffil:

head -n 1 dh.pem
head -n 1 ta.key

Tri amod sy'n penderfynu pa ffeil sydd ei hangen

Yr amod gyntaf yw'r cyfnewid. Mae angen grŵp ar ysgwyd llaw Diffie-Hellman mewn maes meidraidd, a'r gyfarwyddeb dh yw lle mae'r gweinydd yn enwi'r paramedrau ar ei gyfer. Nid oes angen y ffeil honno o gwbl ar ysgwyd llaw ar gromlin eliptig, oherwydd y gromlin yw'r set baramedrau. Os mai dim ond cyfresi ECDHE y mae eich gweinydd yn eu trafod, mae ffeil DH yn bwysau marw yn hytrach na chryfder ychwanegol.

Yr ail amod yw dilysu'r sianel reoli, sef nodwedd ar wahân â'i deunydd ei hun. Mae ffeil tls-auth yn allwedd statig a rennir y mae'r ddau barti'n ei chadw, a ddefnyddir i lofnodi pecynnau'r sianel reoli fel na all parti heb ei ddilysu hyd yn oed gwblhau'r ysgwyd llaw. Mae'n bodoli p'un a ydych yn defnyddio DH maes meidraidd ai peidio, ac nid oes ganddo ddim i'w wneud â pharamedrau'r grŵp.

Y trydydd amod yw cyfrinachedd a dosbarthiad. Gellir cyhoeddi paramedrau DH heb wanhau'r sesiwn, oherwydd cynhyrchir y gwerthoedd cyfrinachol ar gyfer pob ysgwyd llaw ac ni fyddant byth yn gadael y partïon. Ni ddylid cyhoeddi allwedd statig: yr un beitiau yw hi ar y ddau ben, nid yw'n cylchdroi ei hun, a gall unrhyw un sy'n ei chadw gynhyrchu llofnodion dilys ar gyfer y sianel reoli. Mae'r ddau ateb hynny'n arwain at reolau trin hollol wahanol, a dyna pam y gall un ffeil fod mewn ystorfa a'r llall ddim.

Cynhyrchwch y deunydd cywir ar gyfer pob rôl

Defnyddiwch yr offeryn sy'n cynhyrchu'r fformat y mae'r gyfarwyddeb yn ei ddisgwyl yn hytrach na throsi rhwng y ddau. Ar gyfer yr allwedd a rennir ar OpenVPN 2.6, mae ffurf deipiedig y cynhyrchydd yn datgan y pwrpas yn benodol.

openvpn --genkey tls-auth ta.key

Mae'r gorchymyn hwnnw'n creu deunydd cyfrinachol newydd; nid yw'n trwsio nac yn archwilio allwedd bresennol, ac mae ei redeg eto yn rhoi allwedd wahanol nad yw'r partïon eraill yn ei chael. Copïwch y ffeil ganlyniadol i'r partïon sydd ei hangen drwy sianel y byddech yn ei defnyddio ar gyfer unrhyw gyfrinach a rennir, a chadwch y confensiwn cyfeiriad yn gyson: gyda tls-auth mae un ochr yn defnyddio key-direction 0 a'r llall key-direction 1.

Mae paramedrau DH, pan fydd eu hangen, yn dod o gynhyrchu paramedrau yn hytrach nag o gynhyrchydd allweddi, ac mae eu tarddiad yn bwysig er bod yr allbwn yn gyhoeddus. Nid yw grŵp a dynnwyd o ffynhonnell anhysbys yn dod yn ddibynadwy drwy fod yn gyhoeddus; rhaid iddo fod yn grŵp y mae eich partïon yn cytuno arno ac yn un nad yw ei faint na'i adeiladwaith yn ei wanhau.

Beth mae dh none yn ei wneud a beth nad yw

dh none yn gyfarwyddeb go iawn ag ystyr gul: ni fydd unrhyw ffeil paramedrau maes meidraidd yn cael ei llwytho, oherwydd bod yr ysgwyd llaw yn defnyddio Diffie-Hellman ar gromlin eliptig. Nid yw'n fyrlaw am “neidio'r cam DH” yn yr ystyr o wanhau unrhyw beth, ac yn sicr nid yw'n dweud wrth OpenVPN i dderbyn rhyw ffeil arall yn lle.

Mae dau gamgymeriad yn dilyn o'i ddarllen yn anghywir. Y cyntaf yw tybio bod dh none yn dileu'r angen am tls-auth, tra bo'r ddau yn rheoli pethau gwahanol. Yr ail yw cadw llinell dh hen wrth ffurfweddiad dim ond cromlin ac yna meddwl pa ffeil y mae'r gweinydd yn ei defnyddio mewn gwirionedd; os yw'r gyfarwyddeb yn bresennol, darllenir y ffeil, ac mae llwybr tored yno yn methu'r cychwyn am reswm sy'n ddigyswllt â'r cyfnewid a drafodir.

Os yw'r ffeil anghywir wedi'i defnyddio'n barod

Adferwch y gyfrinach a fwriadwyd gan berchennog y proffil a pheidiwch â chyffwrdd â dilysu'r dystysgrif wrth wneud. Mae'r methiant yn anghysondeb fformat, nid methiant ymddiriedaeth, ac mae analluogi dilysu i fynd heibio'r gwall yn disodli problem cychwyn â phroblem dawel.

Yna gwahanwch y ddau ddigwyddiad y mae pobl yn tueddu i'w huno. Mae cyhoeddi ffeil paramedrau DH bron yn ddiniwed, oherwydd roedd y paramedrau'n gyhoeddus o'r bwriad. Mae datgelu allwedd tls-auth yn ddigwyddiad arall: mae'r allwedd yn dilysu pecynnau'r sianel reoli ar gyfer pob parti sy'n ei chadw, felly rhaid cydgysylltu'r disodli ar draws y defnydd cyfan yn hytrach na'i gymhwyso i un gwesteiwr.

Mae gwiriad pum munud yn setlo pa achos ydych ynddo: darllenwch linell gyntaf pob ffeil, cadarnhewch y gyfarwyddeb sy'n cyfeirio ati, a chadarnhewch fod dosbarthiad y ffeil yn cyfateb i'r hyn y mae'r deunydd yn ei ofyn. Gwaith llai yw hynny na ailddatblygu PKI sy'n gweithio, a dyna'r union beth roedd y tri amod yn cyfeirio ato drwy'r amser.