Pam na fydd ychwanegu opt-verify yn atgyweirio gwall seiffr OpenVPN

Rydych yn dod o hyd i awgrym i ychwanegu opt-verify, yn ychwanegu’r llinell, ac mae’r gwall seiffr yn aros yn union lle’r oedd. Mae’r canlyniad hwnnw’n rhagweladwy, oherwydd ni fu’r opsiwn erioed yn trafod seiffr. Roedd yn wiriad cysondeb opsiynau, wedi’i ddibrisio yn 2.6 ac wedi’i ddileu yn 2.7, ac nid yw proffil sy’n dal i ddosrannu gydag ef wedi gorfodi dim drwy hynny.

Mae’n helpu i wybod beth roedd y llinell yn ei wneud o’r blaen cyn dod i’r casgliad mai hi yw’r darn coll. Mae’r hanes hefyd yn egluro pam na all helpu nawr.

Beth roedd yr opsiwn yn ei orfodi o’r blaen

Mae llawlyfr 2.6 yn nodi opt-verify fel un wedi’i ddibrisio ac yn disgrifio’r ymddygiad cynharach: mae’r gweinydd yn gollwng cleientiaid nad yw eu hopsiynau datganedig yn cyfateb i’w rai ef, gan gymharu pethau fel math o ddyfais ac MTU. Mae’r gwiriad hwnnw hefyd yn dibynnu ar i wirio cysondeb opsiynau aros yn galluog, felly ni chafodd gweinydd sy’n rhedeg gyda disable-occ mohono erioed. Sylwch o beth y mae’r gymhariaeth wedi’i chodi: testun sy’n disgrifio ffurfweddiad y cyfoed. Nid yw’n dweud dim am ba seiffr y bydd y sianel ddata yn ei defnyddio.

Dyma’r rheswm cyntaf pam na all y baner atgyweirio gwall seiffr. Mae dewis seiffr yn cael ei lywodraethu gan bolisi data-ciphers a chan yr hyn y mae’r ddau gyfoed yn ei gefnogi, ac nid yw gwiriad cysondeb testunol yn estyn y rhestr honno nac yn cyflawni’r trafodaeth. Ail reswm yw cwmpas: mae’r gwiriad yn ymwneud â ph’un a yw’r opsiynau datganedig yn edrych yn gydnaws, nid ag ansawdd y llwybr sy’n deillio.

Beth mae 2.7 yn ei wneud pan fydd yn gweld y llinell

Yn 2.7 nid yw’r opsiwn yno. Mae’r dosrannydd yn dal i adnabod yr enw, a dyna pam y mae hen broffil yn llwytho heb wall cystrawen, ac mae’n adrodd bod yr opsiwn wedi’i ddileu yn hytrach na mynd heibio iddo’n dawel. Mae adnabod enw a gorfodi ymddygiad yn bethau gwahanol, a dim ond y cyntaf sy’n digwydd o hyd. Mae’r nodiadau dileu yn rhoi’r rheswm: unwaith y gellir trafod paramedrau, gall dau gyfoed yn gwbl gyfreithlon ddal llinynnau opsiynau gwahanol tra’n cytuno ar y cysylltiad.

Nid yw proffil sy’n dosrannu felly’n dystiolaeth bod unrhyw wiriad derbyn wedi rhedeg. Os mai’ch unig signal yw bod y cleient wedi cysylltu, rydych wedi dysgu bod y gystrawen wedi’i derbyn.

Lle mae’r methiant yn byw mewn gwirionedd

Cadwch y gwall concrit cyntaf cyn newid unrhyw beth, oherwydd mae negeseuon diweddarach fel arfer yn ganlyniadau iddo. Mae methiant trafodaeth sianel ddata yn perthyn i’r polisi seiffr cymeradwy ac i’r galluoedd y mae’r ddau gyfoed yn eu hysbysebu mewn gwirionedd. Mae methiant fersiwn neu gyfres TLS yn perthyn i’r sianel reoli. Mae angen hunaniaeth a chadwyn ymddiriedaeth ar wrthodiad tystysgrif, nid baner gydnawsedd.

Nodwch yr injan ar y ddau ben hefyd. Gall rhaglen bwrdd gwaith bwnio adeilad gwahanol i’r deuaidd llinell orchymyn y gwnaethoch brofi ag ef, ac mae cymorth opsiynau’n wahanol rhyngddynt. Edrychwch ar ddogfennaeth yr injan honno yn lle tybio bod pob rhaglen sy’n mewngludo proffil yn ymddwyn yr un fath.

Disodlwch y bwriad, nid y llinell yn unig

Os oedd gweinydd rheoledig hŷn yn dibynnu’n wir ar y gwiriad cysondeb, cofnodwch pa gyfyngiad yr oedd yn ei orfodi cyn yr uwchraddiad. Ni all cadw opsiwn a anwybyddir mewn proffil mwy newydd gadw’r polisi hwnnw, ac ni all dileu llinellau’n ddiwahân wneud hynny chwaith.

Peidiwch ag ymateb i hen awgrym bod pob seiffr wedi’i analluogi drwy alluogi pob algorithm hanesyddol.

Ar ôl cywiriad cymeradwy, archwiliwch y canlyniadau a drafodwyd ar gysylltiad newydd a phrofwch y rhaglen y mae’r defnyddiwr ei hangen mewn gwirionedd. Cadwch fersiwn y gweinydd a’r polisi effeithiol wrth ymyl y canlyniad hwnnw, fel y gall y person nesaf weld beth a gytunwyd yn hytrach na dim ond beth a dderbyniwyd.

Y nod yw cyfyngiad â chymorth a llwybr dilysedig sy’n gweithio, nid hen faner sy’n dal i ddosrannu.