OpenVPN-Paket: HMAC-Authentifizierung fehlgeschlagen – welche Schicht?

Zwei Fehler werden mit demselben Vokabular gemeldet und haben fast nichts gemeinsam. Der eine ist ein Paket, dessen Authentifizierungs-Tag nicht verifiziert wurde; der andere ist eine Person, deren Anmeldedaten abgelehnt wurden. Den ersten wie den zweiten zu behandeln, schickt Sie auf die Suche nach einem Passwort, das nie das Problem war.

Die Meldung nennt eine Schicht, und die nützliche Arbeit besteht darin, zu entscheiden welche, bevor Sie irgendein Material ersetzen. Der direkte Vergleich der Kandidaten ist der schnellste Weg, den Unterschied zu sehen.

Zwei Fehler, die ein Wort teilen

Ein Paketauthentifizierungsfehler entsteht bei der Verarbeitung von Verkehr: Ein Tag oder Digest auf einem empfangenen Paket stimmte nicht mit dem überein, was der Empfänger berechnet hatte. Eine Kontoablehnung erfolgt, nachdem ein Login-Austausch geparst wurde, und sie nennt einen Benutzer statt ein Paket. Eine dritte Meldung, über ein nicht auffindbares HMAC in einem eingehenden Paket, ist wieder anders, denn dort kam das Paket ganz ohne das erwartete Authentifizierungselement an. Das vollständige Log-Präfix sagt Ihnen, welches der drei Sie haben, und das Präfix ist meist das erste, was entfernt wird, wenn ein Fehler in ein Ticket eingefügt wird.

Der Unterschied ändert die Reparatur. Einer verlangt passende Kanaleinstellungen, ein anderer den Kontozustand, und der dritte ein Profil, das nicht zu dem Listener passt, den es erreicht hat.

Vergleichen Sie, was der laufende Prozess tatsächlich geladen hat

Eine korrekte Datei auf der Platte beweist nichts über einen Prozess, der vor ihrer Bearbeitung gestartet ist. Prüfen Sie das ausgewählte Profil, den kontaktierten Endpunkt und ob der Dienst seit der Änderung neu geladen wurde. Bestätigen Sie außerdem, dass der Endpunkt zum Profil gehört, denn eine andere Instanz oder ein anderer Dienst kann dort lauschen, wo die alte Datei etwas anderes erwartet.

Ein unterstütztes Profil aus derselben Quelle erneut zu exportieren, ist ein günstiger Vergleich, weil er die Abweichung zwischen dem, was Sie für konfiguriert halten, und dem, was der Client tatsächlich sendet, beseitigt. Frisches Schlüsselmaterial zu erzeugen, ist ein viel größerer Schritt, und er hilft nur, wenn beide Seiten ihn gemeinsam übernehmen. Eine Seite lokal zu ersetzen, erzeugt genau die Nichtübereinstimmung neu, die Sie beseitigen wollten.

Vergleichen Sie den Steuerkanal mit dem Datenkanal

Zwei Mechanismen authentifizieren verschiedene Teile einer Verbindung und werden getrennt konfiguriert, wie die Optionsreferenz 2.6 beschreibt. tls-auth fügt Steuerkanalpaketen ein HMAC hinzu und nimmt ein Richtungsargument, das auf den beiden Peers entgegengesetzt sein muss, während tls-crypt den Steuerkanal stattdessen mit einem gemeinsamen Schlüssel schützt. Keines von beiden ist die eigene Integritätsprüfung des Datenkanals. Bei einer AEAD-Datenchiffre ist diese Prüfung in der Chiffre eingebaut, daher wird der separate auth Digest nicht so verwendet wie bei einer Nicht-AEAD-Chiffre.

Was bedeutet, dass auth aus einem funktionierenden Nicht-AEAD-Deployment kopiert, in einem AEAD-Deployment irrelevant sein kann, und ein AEAD-Deployment kann im Steuerkanal weiterhin fehlschlagen, wenn der tls-auth Schlüssel oder seine Richtung falsch ist. Vergleichen Sie jede Einstellung mit dem Peer statt mit einer erinnerten Konfiguration.

Vergleichen Sie die Korrektur mit der Eigenschaft, die Sie aufgeben

Paketauthentifizierung zu deaktivieren, stellt die Warnung still und entfernt die Prüfung, die die Nichtübereinstimmung gefunden hat, was nicht dasselbe ist wie das Reparieren des Profils. Fragen Sie, welche Eigenschaft Sie aufgeben und ob das Design ohne sie noch trägt.

Lesen Sie das erste relevante Ereignis an beiden Enden, bevor Sie etwas ändern, und ändern Sie dann nur die Nichtübereinstimmung, die es nennt.

Wenn der nächste Versuch bis zu einem Zertifikats- oder Login-Fehler kommt, ist das Fortschritt und kein Rückschritt: Die Paketschicht stimmt jetzt überein, und die Verbindung ist weitergekommen. Notieren Sie die Einstellungen, die die Änderung bewirkt haben, damit die nächste Person eine Erklärung statt eines Rätsels erbt.