Kiel OpenVPN data-ciphers elektas la ĉifron de la datkanalo

La tunelo malfermiĝas, la protokolo montras ĉifron, kaj la profilrevizio daŭras. Poste alvenas ĝisdatigo ĉe unu partnero kaj la sama profilo malsukcesas kun mesaĝo pri neniu komuna ĉifro, kio sendas homojn serĉi direktivon por forigi. La utila afero kompreni estas, ke data-ciphers priskribas intertraktadon, ne agordon. Unu flanko proponas liston, la alia elektas el ĝi, kaj la rezulto estas unu algoritmo, kiun ambaŭ subtenas. Legi tiun interŝanĝon klarigas plej multajn el tiuj malsukcesoj antaŭ ol vi ŝanĝos unu linion.

Du kanaloj, du agordoj

La OpenVPN-sesio havas regkanalon kaj datkanalon. La regkanalo plenumas la TLS-manpremon, kiu aŭtentikas la partnerojn kaj interkonsentas ŝlosilojn. La datkanalo ĉifras la pakaĵojn, kiuj portas vian trafikon.

data-ciphers agordas la duan. La regkanalo havas proprajn opciojn, kaj la identecaj kontroloj de la profilo estas tria, aparta afero. Ŝanĝo ĉe unu ne riparas la alian, kaj tial profilo povas aspekti ĝusta kaj tamen malsukcesi ĉe difinita stadio.

Teniu la tri en propraj skatoloj, kiam vi legas agordan dosieron.

Legu la intertraktadon el la protokolo

La klienta protokolo nomas ambaŭ rezultojn, kiam la konekto sukcesas. Unu linio raportas la regkanalon kaj ĝiajn TLS-detalojn, kaj alia raportas la elektitan ĉifron de la datkanalo.

Legu ambaŭ, ĉar ili respondas malsamajn demandojn. Malsukceso de la regkanalo haltigas la konekton antaŭ ol iu ajn datĉifro gravas. Miskongruo de la datkanalo aperas post sukcesa manpremo, kun mesaĝo pri neniu komuna ĉifro.

Poste komparu la proponitajn listojn ĉe ambaŭ flankoj. Nomo, kiun la versio de unu partnero aŭ ĝia kriptografia tavolo ne provizas, ne povas esti elektita, negrave kiom frue ĝi aperas en la listo de la alia partnero.

Kiel la elekto efektive okazas

La servilo puŝas sian data-ciphers-liston al la kliento dum la manpremo, kaj la kliento elektas la unuan eron en tiu listo, kiun ĝi ankaŭ subtenas. La ordo do apartenas al la agordo de la servilo, ne de la kliento.

Tiu detalo klarigas klason da konfuzaj rezultoj. Reordigi la liston de la kliento ŝanĝas nenion, dum la listo de la servilo decidas. Aldoni ĉifron, kiun la kliento ne povas provizi, ankaŭ ŝanĝas nenion, ĉar la kliento devas povi uzi la eron, kiun ĝi elektas.

Pli novaj eldonoj ŝanĝis la defaŭltan liston kaj renomis la opcion, kiu antaŭe tenis ĝin, do du partneroj sur diversaj versioj povas malkonsenti sen ke iu redaktu profilon. Kontrolu la version ĉe ĉiu flanko antaŭ ol supozi tajperaron.

Listo ne estas fortranga rango en la abstrakto. Ĝi estas aro da kandidatoj, kaj la elektita estas la unua reciproke subtenata ero en la ordo de la servilo. Tial du listoj, kiuj aspektas malsame, povas intertrakti la saman ĉifron. Ankaŭ tial du listoj, kiuj aspektas idente, povas malsukcesi.

Pli malnovaj partneroj bezonas intencan rezervon

Partnero, kiu tute ne povas intertrakti, ĉar ĝi antaŭas la mekanismon aŭ havas ĝin malŝaltita, bezonas dokumentitan kompatiblaĵon. La rezerva opcio ekzistas ĝuste por tiu kazo kaj validas por partneroj, kiuj ne partoprenas en la intertraktado.

Tio ne samas kiel ebligi ĉiun malnovan ĉifron, por ke mesaĝo malaperu. Larĝa listo malfortigas la sesion por ĉiu partnero, inkluzive de tiuj, kiuj estus intertraktintaj ion fortan.

Kunordigu la du flankojn anstataŭ redakti nerilatajn algoritmajn nomojn. Se servila ĝisdatigo forigis malnovan opcion, la korekto apartenas al la versioplano, ne al hasthasto ĉe la kliento.

Konservu la kontroladon sendifekte

Miskongruo de la datkanalo ne estas kialo akcepti nekontrolitan servilon. La kontrolado de la atestilo, la atendita servila nomo kaj la protektaj agordoj de la regkanalo estas apartaj de la ĉifra elekto kaj devus postvivi ajnan kompatibilan ŝanĝon.

Notu la intertraktitan datĉifron, la klientan version kaj la servilan version kune, por ke la sekva komparo komenciĝu de faktoj anstataŭ de la profila dosiero.

Post subtenata korekto, testu la komencan konekton kaj reintertraktadon, ĉar sesio, kiu establiĝas unufoje, povas ankoraŭ malsukcesi, kiam ŝlosiloj renoviĝas.

Se la tunelo establiĝas kaj retejoj ankoraŭ malsukcesas, la ĉifro ne plu estas la suspektato. Daŭrigu kun enkursigo kaj DNS. Ordo de laboro: legu ambaŭ protokolajn liniojn, komparu ambaŭ listojn, kontrolu versiojn, aldonu rezervon nur por partnero, kiu bezonas ĝin, poste retestu la renovigan vojon.