DD-WRTko OpenVPN 2.5 entzulea hilda? Irakurri sortu zuen konfigurazioa

DD-WRTn entzule hilda egoteak esan nahi du, normalean, daemona irten egin zela bere konfigurazioa analizatzen ari zela, ez suebakiko arau batek ataka blokeatu zuela. OpenVPN 2.5ek konfigurazio zaharragoek zituzten hainbat balio lehenetsi gogortu zituen, eta bertsio zaharrago batean funtzionatzen zuen sortutako konfigurazio bat baztertu daiteke socket-a ireki aurretik. Arrazoia routerraren beraren erregistroan dago, eta sarrera sortutako fitxategian. Biak ordena horretan irakurtzea edozein pakete-kaptura baino azkarragoa da.

Daemona ez da suebakia

Bereizketa garrantzitsua da, kanpotik bi hutsegiteek itxura bera dutelako: bezeroak handshake bat bidaltzen du eta ez du ezer jasotzen. Bata exekutatzen ez den prozesu bat da, eta bestea exekutatzen eta iragazten ari den prozesu bat.

Bereizi itzazu bi egiaztapenekin ezer aldatu aurretik, daemon hil baten gaineko suebaki-aldaketak bigarren aldagai bat baino ez baitu gehitzen.

Irakurri DD-WRTk sortu zuen konfigurazioa

DD-WRTk ez dio OpenVPNri web interfazean idatzi duzun testua ematen. Sortutako konfigurazio bat idazten du /tmp/openvpn/openvpn.conf helbidean eta daemona fitxategi horrekin abiarazten du, beraz interfazearen eremuak eta Additional Config-eko edozein testu OpenVPNk ikusi aurretik bateratzen dira. Sortutako fitxategiaren ordez formularioa arazten baduzu, asmo bat irakurtzen ari zara, ez benetako sarrera. Kopiatu fitxategi hori leku iraunkor batera, berrabiarazte batek /tmp garbitu aurretik.

Konparatu sortutako fitxategia nahi zenuenarekin, batez ere interfazeak inoiz aukeratu ez duzun direktiba bat idazten duen lekuetan. Aukera zaharkitu bat igortzen duen goitibeherako zerrenda ikusezina da formularioan eta hilgarria daemonarentzat.

Sortutako fitxategia hutsik badago edo falta bada, daemona ez zen abiaraztera iritsi ere egin, eta arazoa OpenVPN baino lehenago dago.

Zer utzi zion OpenVPN 2.5ek onartzeari

OpenVPN 2.5ek ncp-ciphers ordezkatu zuen data-ciphers-rekin, eta TLS bertsio minimo lehenetsia 1.2ra igo zuen. Konpresioaren tratamendua ere aldatu zuen, konpresioa eskaintzen duen pare bat ukatzen da konfigurazioak berariaz baimendu ezean, eta zaharkitutzat jo zituen aukera-izen zaharragoak, hala nola ns-cert-type, honen ordez remote-cert-tls erabiltzea gomendatuz. Aldaketa horietako bakoitzak aurretik funtzionatzen zuen konfigurazio bat analisi- edo negoziazio-hutsegite bihurtzen du.

Hutsegite-modua direktibaren araberakoa da. Aukera ezezagun edo kenduak daemona gelditzen du abiaraztean, hori da zure entzule hilda. Negoziazio-desadostasunak daemona martxan uzten du eta bezeroak ukatzen ditu, eta bezeroaren aldetik suebaki-arazo bat dirudi.

Irakurri erregistroko lehen errorea, ez azkena. Analisia lehen direktiba txarrean gelditzen da, eta horren ondorengo guztia itzaltzearen zarata da.

Broadcomi dagozkion aurrebaldintzak

Broadcom bertsioetan tunel-gailuak existitu behar du daemonak erabili aurretik. Egiaztatu tun modulua kargatuta dagoela eta /dev/net/tun badagoela, gailu bat faltak ziurtagiriekin zerikusirik ez duen abiarazte-hutsegitea eragiten baitu. Gauza bera gertatzen da DD-WRTk ibilbide eta DNSerako sortzen dituen script laguntzaileekin: falta badira edo exekutagarriak ez badira, daemona abiaraz daiteke eta, hala ere, ez amaitu bere konfigurazioa.

Exekutatu daemona aurreko planoan xehetasun handiagoz sortutako konfigurazioaren gainean, benetako mezua behar duzunean. Aurreko planoko exekuzioak init scriptak irentsi zuen analisi-errorea inprimatzen du.

Ondoren leheneratu zerbitzu arrunta, aurreko planoko daemonak eta init scriptak ataka baino ez luketelako borrokatuko.

Frogatu entzulea badagoela bezeroak araztu aurretik

Egiaztatu prozesua eta socket-a bereizita: komando bat exekutatzen ari den daemonarentzat, beste bat espero den helbidean lotutako UDP atakarentzat. Socket-ik gabeko prozesu batek esan nahi du oraindik konfiguratzen ari dela edo interfaze okerrean lotuta dagoela. Bikotea proba erabilgarria da hain zuzen ere erdi batek ezin duelako egia izan bestea gabe.

Bezeroaren aldeko arazketa entzulea existitu ondoren baino ez du zentzurik. Orduan egiaztatu bezeroaren zifratze- eta TLS-ezarpenak bat datozela zerbitzariaren data-ciphers zerrendarekin eta bertsio minimoarekin, eta ataka benetan routerrera birbidaltzen dela.

Gorde sortutako konfigurazioa eta konponbidea frogatu zuen erregistro-lerroa. Hurrengo firmware-eguneratzeak lehenetsiak berriro alda ditzake, eta erregistro horrek bihurtzen du errepikapen bost minutuko egiaztapen.