Mae allweddi 8192-did yn tagu'r cydlawenhau; gwrthodir DH 1024-did

Mae gan un gweinydd gleientiaid sy'n hongian am gyfnod ac yna'n ailgysylltu, ac mae un arall yn gwrthod cysylltiadau ar unwaith â neges am faint yr allwedd. Maent yn edrych fel bygiau gwahanol, a'r un bai yw'r ddau yn pwyntio i gyfeiriadau croes. Mae gan gryptograffeg y cydlawenhau gost sy'n tyfu gyda maint y paramedrau, ac mae ganddi hefyd lawr nad yw llyfrgelloedd modern yn mynd oddi tano. Maintio'r deunydd yw'r rhestr wirio, a'r eitem gyntaf yw penderfynu pa un o'r ddau fai sydd gennych mewn gwirionedd.

Darllenwch y methiant cyn ailgynhyrchu unrhyw beth

Mae'r amseru yn dweud y rhan fwyaf wrthych. Mae cydlawenhau sy'n cymryd sawl eiliad ac yna'n marw fel arfer yn golygu bod y cyfrifiad wedi goroesi amynedd y parti arall, sy'n awgrymu paramedrau sy'n rhy fawr i'r caledwedd neu i'r terfyn amser. Mae gwrthodiad ar unwaith sy'n enwi maint allwedd neu grŵp yn pwyntio'r ffordd arall, at ddeunydd na fydd y llyfrgell yn ei dderbyn o gwbl.

Mae'r ddau angen cyweiriadau croes, a dyma lle mae'r rhan fwyaf o ymdrechion yn mynd o chwith. Mae ailgynhyrchu paramedrau 8192-did ar gleient sydd eisoes wedi gwrthod grŵp bach yn gwneud yr achos araf yn waeth heb wneud dim i'r un cyflym. Nodwch pa symptom a welsoch cyn i chi gyffwrdd â ffeil.

Yna edrychwch beth sy'n cael ei ofyn gan y parti arall. Mae gweinydd wedi'i ffurfweddu ar gyfer grŵp maes meidrol mawr yn gorfodi pob cleient i wario'r un amser CPU ar bob ailgyd-drafod, nid yn unig wrth gysylltu. Os yw'r broblem yn ymddangos ar gyfwng rheolaidd yn hytrach nag wrth gychwyn, mae'r cyfwng hwnnw'n awgrym cryf pa osodiad sy'n ddrud. Mae ailgyd-drafod yn ailadrodd y cyfrifiad cyfan, felly mae tagfa sy'n dychwelyd bob awr fel arfer yr un gost yn cael ei thalu eto.

Yr achos araf: deunydd na all y caledwedd ei fforddio

Mae gwaith Diffie-Hellman a RSA yn tyfu'n gyflym gyda maint allwedd, ac mae hynny i gyd yn digwydd cyn i unrhyw draffig dwnnel lifo. Ar lwybrydd bach neu gleient pŵer isel, gall grŵp mawr ddigon gwthio'r cyfnewid y tu hwnt i derfyn amser y ochr arall, felly mae'r cysylltiad yn ailgeisio neu'n ymddangos yn hongian heb unrhyw fai o gwbl.

Y cyweiriad yw dod i lawr i faint y mae pob parti yn ei gefnogi ac y gall pob dyfais ei gyfrif yn gyfforddus. Mae allwedd RSA 2048-did a grŵp 2048-did yn parhau'n llinell sylfaen gydnaws yn eang; dim ond pan fydd pob parti'n cytuno ac y gall y CPU dalu amdano ar bob ailgyd-drafod y mae mynd yn fwy o gymorth. Mae popeth uwchben y llinell sylfaen honno'n fasnach fwriadol, nid yn uwchraddiad.

Nid sgôr yw maint, ac nid y rhif mwyaf mewn tabl cymharu yw'r dewis cywir yn awtomatig. Dewiswch y gwerth lleiaf y mae eich polisi'n ei ganiatáu ac y mae pob parti'n ei dderbyn, yna mesurwch y cydlawenhau yn hytrach na thybio ei fod wedi gwella. Mae grŵp llai sy'n dal i redeg allan o amser yn dweud wrthych nad oedd maint erioed yn stori gyfan.

Yr achos cyflym: grŵp y mae'r llyfrgell yn ei wrthod

Mae adeiladwaith modern OpenSSL yn gwrthod y grwpiau maes meidrol lleiaf yn llwyr, ac mae lefel diogelwch wedi'i chodi yn gwthio'r llawr yn uwch fyth. Ffurfwedd llwybrydd sy'n cludo ffeil paramedrau ddegawdau oed yw'r ffynhonnell arferol, a'r symptom yw cysylltiad sy'n methu ar unwaith â neges yn enwi'r grŵp neu faint yr allwedd. Nid oes dim yn y methiant hwnnw'n ysbeidiol, a dyna sy'n ei wneud yn hawdd i'w adnabod.

Disodlwch y ffeil yn hytrach na golygu'r ffurfweddiad i hepgor y gwiriad. Cynhyrchwch grŵp cyfredol, dilyswch ef, yna gosodwch ef lle mae'r daemon yn ei ddarllen mewn gwirionedd. Cadwch yr hen ffeil nes bod cleient wedi cysylltu'n llwyddiannus â'r un newydd:

openssl dhparam -out /etc/openvpn/ffdhe2048.pem 2048
openssl dhparam -in /etc/openvpn/ffdhe2048.pem -check -noout
ls -l /etc/openvpn/ffdhe2048.pem

Mae'r gorchymyn gwirio yn dilysu'r ffeil ac yn argraffu dim defnyddiol pan fydd yn llwyddo; mae'r rhestr yn cadarnhau ichi ddisodli'r ffeil y mae'r gwasanaeth yn ei llwytho, nid copi hen wrth ei hymyl. Pwyntiwch y ffurfweddiad at y llwybr hwnnw, ailgychwynnwch y daemon, a chadarnhewch fod cleient a fethodd o'r blaen nawr yn cwblhau'r cydlawenhau.

Os yw'r gweinydd hefyd yn gosod lefel diogelwch neu broffil tystysgrif, darllenwch y rheini cyn dod i'r casgliad bod y grŵp yn anghywir. Gall proffil sy'n gofyn am ddosbarth mwy llym wrthod deunydd y byddai'r rhagosodiad wedi'i dderbyn, ac mae tynnu'r osodiad hwnnw'n newid culach na diffodd y gwiriad yn fyd-eang.

Dewiswch faint ar gyfer y parti arall a'r caledwedd

Darganfyddwch beth y gall y pen pell ei drin cyn cynhyrchu unrhyw beth egsotig. Mae dyfais sy'n rhy hen ar gyfer grŵp 2048-did yn ddyfais i'w disodli, gan mai cyfeirio'r gweinydd at grŵp gwannach sy'n troi cwyn cydnawsedd yn ddiffyg gwasanaeth yn unig. Mae cyweiriadau parhaol yn symud tuag at feddalwedd mwy newydd yn hytrach na pharamedrau hŷn. Mae gan bob eithriad dros dro yn y maes hwn ffordd o ddod yn ffurfweddiad parhaol.

Lle mai CPU'r gweinydd yw'r terfyn, newidiwch yr algorithm yn hytrach na chrebachu o dan y polisi. Mae cyfnewid allweddi cromlin eliptig fel X25519 yn llawer rhatach na grŵp maes meidrol mawr ac mae'n cael ei gefnogi'n eang, sy'n ei wneud yn ateb gwell i gwyn am berfformiad na modwlws RSA llai.

Beth bynnag a ddewiswch, profwch ag un cysylltiad go iawn a gwyliwch faint o amser y mae'r cydlawenhau yn ei gymryd, nid yn unig a yw'n cysylltu yn y pen draw. Mae cysylltiad sy'n llwyddo mewn deuddeg eiliad â'r un achos gwraidd â'r un sy'n methu ar bymtheg.

Cofnodwch y dewis fel na all ailadeiladu ei ddadwneud

Cadwch y ffeil paramedrau o dan reolaeth ffurfweddiad ac ysgrifennwch y maint, y rheswm a'r dyddiad wrth ei hymyl. Gweinydd wedi'i ailadeiladu sy'n cynhyrchu ei ragosodiadau ei hun yn dawel yw'r ffordd y mae'r un bai yn dychwelyd chwe mis yn ddiweddarach heb fod unrhyw un yn gallu esbonio'r penderfyniad gwreiddiol.

Cofnodwch yr un wybodaeth wrth ymyl y pen draw a'r proffil, fel nad oes rhaid i adolygiad ei hailweithio o faint ffeil. Pan fydd y cysylltiad nesaf yn tagu, y nodyn hwnnw yw'r gwahaniaeth rhwng gwiriad pum munud ac ymchwiliad newydd. Mae hefyd yn atal yr peiriannydd nesaf rhag datrys yr achos araf gyda chyweiriad a fwriadwyd ar gyfer yr un cyflym.