OpenVPN-i pakkimine: keelduda, ainult vastu võtta või täielik LZO?
comp-lzo no ei ole range keeldumine. Võrrelge pakkimisest keeldumist, ühesuunalist vastuvõttu migratsiooni ajal ja selle säilitamist ning kontrollige, mida offload teeb.
Kolm profiili rida näivad kõik pakkimise välja lülitavat, ja ainult üks neist teeb seda tegelikult. Vahe on oluline, sest hoiatus, mida soovite vaigistada, on sümptom, samas kui poliitika otsustab, kas vastaspool saab veel pakkida. Valikute võrdlemine ühel teljel, nimelt mida igaüks pärast muudatust lubab, kõrvaldab suurema osa ebaselgusest. Millist soovite, sõltub sellest, kas migreerite või kinnistute.
Kolm poliitikat, mis konfiguratsioonifailis sarnased välja näevad
Iga valik vastab erinevale küsimusele. allow-compression no keeldub pakitud kasulikust koormusest otse, allow-compression asym pakib lahti selle, mis saabub, ja ei paki kunagi seda, mis väljub, ning vana comp-lzo no jätab ruumi vastaspoole push-ile pakkimise sisselülitamiseks. Ainult esimene on poliitika, mida server ei saa üle kirjutada.
Kirjutage need kolm enne valimist tabelisse, sest nimed on piisavalt lähedased, et arvustajat eksitada. Kaks neist käivitavad vastuvõetud pakettidel endiselt lahtipakkimiskoodi ja täpselt sellest turvaargument räägibki. Kolmas eemaldab võimekuse, selle asemel et piirata selle suunda. Kui muudatuse kirjesse on märgitud, et pakkimine on välja lülitatud, täidab seda lauset täpselt üks rida.
Hoiatus, millest uurimine algas, ei ole eesmärk. Selle vaigistamine, jättes lubava poliitika paigale, annab puhta logi ja muutumatu kokkupuute.
| Setting | What it permits | When it is the right answer |
|---|---|---|
allow-compression no | No compressed payloads, and no compression framing under offload | Both ends can be changed now |
allow-compression asym | Decompress inbound only | A dated migration while peers catch up |
comp-lzo no | Off locally, still pushable by a peer | Legacy compatibility you can still justify |
Mida no vana LZO-valiku puhul tähendab
Vananeval LZO-valikul lülitab no pakkimise kohaliku poole jaoks välja, keelamata vastaspoolel seda seal sisse lülitada, kus poliitika seda lubab. See asümmeetria on põhjus, miks profiili viimine rangele keeldumisele muudab käitumist viisil, mida ühe serveriga laborikatse ei pruugi kunagi paljastada.
Turvamure on tingimuslik, mitte absoluutne. Kui ründaja saab paigutada valitud avateksti saladuse kõrvale ja jälgida, kuidas pakkimine muudab krüpteeritud liikluse suurust, on olemas infokanal. Üleminek LZO-lt LZ4-le muudab algoritmi ja raamistust, mitte seda mehhanismi.
Aus lähenemine puudutab seega seda, mida olete valmis lubama, mitte seda, millist algoritmi praegu soovitatakse. Range keeldumine on ainus valik, mis ei sõltu teise poole koostööst.
Ainult vastuvõtt on migratsiooniseisund, mitte sihtkoht
Asümmeetriline vastuvõtt on olemas selleks, et üks pool saaks pakkimise lõpetada, samal ajal kui teine seda veel ootab. See on sild ja sildadel peab olema lõppkuupäev ja omanik. Kirjutage üles, millised partnerid saadavad endiselt pakitud liiklust, sest poliitika lubab täpselt sellist liiklust. Ilma selle loendita muutub migratsiooniseisund inertsist püsivaks konfiguratsiooniks.
Klient ei saa sundida ühildumatut serverit vanast raamistusest loobuma oma faili muutmisega. Push-suund otsustatakse serveris, seega lõpeb migratsioon tegelikult serveri konfiguratsioonis ja selle kliendipõhistes failides.
Stub-režiimid säilitavad raamistuse, jättes pakkimistöö enda vahele, ja need ei ole vanema valiku otsene vaste. Testige neid kõige vanema partneri vastu, mida peate veel toetama, enne kui ühe kasuks otsustate.
Kus andmekanali offload vastust muudab
Andmekanali offload viib pakettide töötlemise kerneli, ja profiil, mis sõltub endiselt pakkimisraamistusest, ei pruugi sellele teele mahtuda. Tõrge ei ole alati vali: klient ühendub ja käitub seejärel teisiti kui tunnel, mida testisite.
Kontrollige, milline teostus on enne ja pärast muudatust aktiivne, mitte ainult seda, kas ühendus õnnestub. Kui offload-tee keeldub pakkimisraamistusest, on range keeldumise poliitika ja offloadiga juurutus kooskõlas, samas kui lubav poliitika ja offloadiga juurutus ei ole.
See kombinatsioon väärib omaette katset, sest just seal on õigesti näiv fail vaikselt mitte see, mida kasutatakse. Võrrelge läbiräägitud olekut profiilis kirjas oleva kavatsusega, sest ainult üks neist on logis nähtav.
Valige poliitika ja seejärel kontrollige läbiräägitud tulemust
Valige range keeldumine, kui saate muuta mõlemat poolt, asümmeetriline vastuvõtt, kui veel ei saa, ja täielik pakkimine ainult siis, kui suudate selgitada, miks kokkupuude on vastuvõetav. Seejärel kontrollige, mida läbi räägiti, mitte seda, mida fail ütleb. Vaiksem logi on tõend ainult siis, kui see vastab poliitikale, mida kavatsesite juurutada.
Hoidke otsus selle profiili kõrval, millele see kehtib, koos kuupäeva ja veel vabastatud partneritega. Pool aastat hiljem on see märkus vahe teadliku erandi ja õnnetuse vahel, mida keegi dateerida ei oska. Kirjutage see samasse hoidlasse kui profiil, et järgmine toimetaja näeks põhjust enne direktiivi.