Γιατί η προσθήκη opt-verify δεν διορθώνει το σφάλμα κρυπτογράφησης του OpenVPN

Βρίσκετε μια πρόταση να προσθέσετε opt-verify, προσθέτετε τη γραμμή, και το σφάλμα κρυπτογράφησης μένει ακριβώς εκεί που ήταν. Αυτό το αποτέλεσμα είναι προβλέψιμο, γιατί η επιλογή δεν διαπραγματεύτηκε ποτέ κρυπτογράφηση. Ήταν έλεγχος συνέπειας επιλογών, παρωχημένος στην 2.6 και αφαιρεμένος στην 2.7, και ένα προφίλ που ακόμη αναλύεται με αυτόν δεν έχει επιβάλει τίποτα με τον τρόπο αυτό.

Βοηθά να ξέρετε τι έκανε παλιά η γραμμή πριν συμπεράνετε ότι είναι το κομμάτι που λείπει. Η ιστορία εξηγεί επίσης γιατί δεν μπορεί να βοηθήσει τώρα.

Τι επέβαλλε παλιά η επιλογή

Το εγχειρίδιο της 2.6 χαρακτηρίζει το opt-verify παρωχημένο και περιγράφει την παλιότερη συμπεριφορά: ο διακομιστής απορρίπτει πελάτες των οποίων οι δηλωμένες επιλογές δεν ταιριάζουν με τις δικές του, συγκρίνοντας πράγματα όπως τον τύπο συσκευής και το MTU. Ο έλεγχος αυτός εξαρτάται επίσης από το να παραμένει ενεργός ο έλεγχος συνέπειας επιλογών, οπότε ένας διακομιστής που τρέχει με disable-occ δεν τον είχε ποτέ. Προσέξτε από τι χτίζεται η σύγκριση: κείμενο που περιγράφει τη διαμόρφωση του άλλου άκρου. Δεν λέει τίποτα για το ποια κρυπτογράφηση θα χρησιμοποιήσει το κανάλι δεδομένων.

Αυτός είναι ο πρώτος λόγος που η σημαία δεν μπορεί να διορθώσει σφάλμα κρυπτογράφησης. Η επιλογή κρυπτογράφησης διέπεται από την πολιτική data-ciphers και από το τι υποστηρίζουν και τα δύο άκρα, και ένας κειμενικός έλεγχος συνέπειας ούτε επεκτείνει αυτή τη λίστα ούτε εκτελεί τη διαπραγμάτευση. Δεύτερος λόγος είναι το εύρος: ο έλεγχος αφορά το αν οι δηλωμένες επιλογές φαίνονται συμβατές, όχι την ποιότητα της διαδρομής που προκύπτει.

Τι κάνει η 2.7 όταν βλέπει τη γραμμή

Στην 2.7 η επιλογή δεν υπάρχει. Ο αναλυτής αναγνωρίζει ακόμη το όνομα, γι’ αυτό ένα παλιό προφίλ φορτώνεται χωρίς συντακτικό σφάλμα, και αναφέρει ότι η επιλογή αφαιρέθηκε αντί να την προσπεράσει σιωπηλά. Το να αναγνωρίζεις ένα όνομα και το να επιβάλλεις μια συμπεριφορά είναι διαφορετικά πράγματα, και μόνο το πρώτο συμβαίνει ακόμη. Οι σημειώσεις αφαίρεσης δίνουν τον λόγο: μόλις οι παράμετροι μπορούν να διαπραγματευτούν, δύο άκρα μπορούν νόμιμα να έχουν διαφορετικές συμβολοσειρές επιλογών ενώ συμφωνούν για τη σύνδεση.

Ένα προφίλ που αναλύεται επομένως δεν είναι απόδειξη ότι εκτελέστηκε οποιοσδήποτε έλεγχος εισδοχής. Αν το μόνο σας σήμα είναι ότι ο πελάτης συνδέθηκε, μάθατε ότι η σύνταξη έγινε δεκτή.

Πού ζει στην πραγματικότητα η αποτυχία

Διατηρήστε το πρώτο συγκεκριμένο σφάλμα πριν αλλάξετε οτιδήποτε, γιατί τα επόμενα μηνύματα είναι συνήθως συνέπειές του. Μια αποτυχία διαπραγμάτευσης του καναλιού δεδομένων ανήκει στην εγκεκριμένη πολιτική κρυπτογράφησης και στις δυνατότητες που διαφημίζουν πράγματι και τα δύο άκρα. Μια αποτυχία έκδοσης ή σουίτας TLS ανήκει στο κανάλι ελέγχου. Μια απόρριψη πιστοποιητικού χρειάζεται την ταυτότητα και την αλυσίδα εμπιστοσύνης, όχι μια σημαία συμβατότητας.

Προσδιορίστε επίσης τη μηχανή και στα δύο άκρα. Μια εφαρμογή επιφάνειας εργασίας μπορεί να ενσωματώνει διαφορετικό build από το δυαδικό της γραμμής εντολών με το οποίο δοκιμάσατε, και η υποστήριξη επιλογών διαφέρει μεταξύ τους. Ελέγξτε την τεκμηρίωση εκείνης της μηχανής αντί να υποθέσετε ότι κάθε πρόγραμμα που εισάγει προφίλ συμπεριφέρεται το ίδιο.

Αντικαταστήστε την πρόθεση, όχι μόνο τη γραμμή

Αν ένας παλιότερος διαχειριζόμενος διακομιστής βασιζόταν πραγματικά στον έλεγχο συνέπειας, καταγράψτε ποιον περιορισμό επέβαλλε πριν από την αναβάθμιση. Το να κρατήσετε μια αγνοημένη επιλογή σε νεότερο προφίλ δεν μπορεί να διατηρήσει αυτή την πολιτική, και η διαγραφή γραμμών αδιακρίτως δεν μπορεί επίσης.

Μην απαντήσετε σε μια παλιά πρόταση ότι όλες οι κρυπτογραφήσεις είναι απενεργοποιημένες ενεργοποιώντας κάθε ιστορικό αλγόριθμο.

Μετά από μια εγκεκριμένη διόρθωση, εξετάστε τα διαπραγματευμένα αποτελέσματα σε νέα σύνδεση και δοκιμάστε την εφαρμογή που ο χρήστης πραγματικά χρειάζεται. Κρατήστε την έκδοση του διακομιστή και την ενεργή πολιτική δίπλα σε αυτό το αποτέλεσμα, ώστε ο επόμενος να βλέπει τι συμφωνήθηκε και όχι μόνο τι έγινε δεκτό.

Ο στόχος είναι ένας υποστηριζόμενος περιορισμός και μια λειτουργική πιστοποιημένη διαδρομή, όχι μια παλιά σημαία που ακόμη αναλύεται.