Netgear OpenVPN: TUN eta TAP ataka desberdinetan entzuten dute

Telefono bat routerraren VPN-ra kexarik gabe konektatzen da, eta deskarga-orri beretik hartutako profila duen ordenagailu eramangarri bat denboraz kanpo geratzen da. Saiakera horien artean ezer ez zen aldatu ziurtagiriekin, eramangarriak ez baitzuen inoiz ziurtagiriak garrantzitsuak diren puntura iritsi. Routerrak TUN eta TAP-erako entzule bereiziak argitaratzen ditu, eta lan egiten duen profilak bere gailu-motari dagokiona aukeratu behar du.

Hiru hutsegite posibleetatik zein jarraitu erabakitzea da hemen lan osoa: ataka, gailu-mota edo datu-kanalaren zifratze negoziazioa.

Bat etorri behar duten hiru gauza

Gailu-mota, profilaren interfaze-lerroa eta entzulearen ataka aukera bat dira, ez hiru. dev tun deklaratzen duen eta TAP entzuleari zuzentzen zaion profilak ezin du saioa osatu, eta alderantziz modu berean huts egiten du. Zure modelo eta firmwarearentzat, irakurri ataka routerraren beraren VPN orritik eta ez gidatik, zenbakiak bertsioen artean aldatzen baitira. Idatzi modeloa eta firmware bertsioa zenbaki horren ondoan, hurrengo pertsonak egiaztatu ahal izan dezan.

Landako txostenek 12973 TUN-erako eta 12974 TAP-erako pare bat aipatzen dute firmware batean, eta zenbaki desberdin bat beste batean. Irakurri horiek bertsioak desberdinak direlako froga gisa, ez kopiatzeko konstante gisa. Profilak orduan distantziari dagokion ostalari-izena behar du: routerraren DNS izen dinamikoa, aldatuko den WAN helbidea beharrean.

Ataka eta interfaze-lerroa zuzendu ondoren, profilak bezero-konfigurazio arrunta dirudi, remote lerro bat eta dev lerro bat dituela. Biak bat ez badatoz, berriro saiatzeak ez du saioarik sortzen.

Irakurri erregistroa inprimatzen den ordenan

OpenVPN bezero batek gertaerak gertatzen diren ordenan jakinarazten ditu, beraz isiltasunaren aurreko azken lerroak zein geruza ikuskatu adierazten du. Exekuzioa TLS Error: TLS key negotiation failed-en amaitzen denean, edo lehen erantzunaren zain egon eta uzten duenean, ziurtagirien konparazioa ez zen inoiz gertatu. Horrek irisgarritasunera, entzulera edo atzean ezer ez duen ataka batera eramaten du. Horietako bat ere ez da CA fitxategia ordezkatuz konpontzen.

VERIFY OK arte iritsi eta gero huts egiten duen exekuzioa erabat beste leku batean dago, bere kausak dituela. Bi emaitza horiek fitxategiak ukitu aurretik bereizteak saihesten du inoiz kontsultatu ez ziren ziurtagiri-sorten bidezko ohiko ingurubidea. Esku-ematea osatu baina tunela altxatzen ez denean, begiratu zifratze negoziazioa irisgarritasunaren ordez.

Gehitu bezero moderno batek espero duen zifratze-zerrenda

OpenVPN bezero berriek etxeko firmwareak oraindik eskaintzen dituen balio lehenetsi zaharrak ukatzen dituzte, eta sintoma esku-emate arrakastatsuaren ondorengo negoziazio-hutsegitea da. Konponbidea profil-lerro bakarra da, bezeroak zer onartuko duen izendatzen duena: jarri data-ciphers AES-256-GCM, AES-128-GCM, CHACHA20-POLY1305 eta AES-128-CBC balioetan ordena horretan. Routerrak inplementatzen ez duen algoritmoa ez da inoiz hautatzen, beraz zerrenda luzeagoak ez du ezer kostatzen negoziazio pixka bat luzeagoa izan ezik.

Zifratzeak zerrendatzeak ez dio routerrari ez duen bat irakasten. Negoziazioak huts egiten jarraitzen badu, egiaztatu routerraren orriak bere zifratze-ezarpena duen eta ezarpen horrek bezeroak onartzen duen gutxienez sarrera bat barne hartzen duen. Kide komunik gabeko bi zerrendek ataka oker batek bezalako hutsegite bera sortzen dute, horregatik mutur biek begirada bat merezi dute.

Inportatu behin, kopiak eskuz editatu beharrean

Zuzendutako fitxategia NetworkManager-en inportatzeak profil apur bat desberdinez betetako karpeta saihesten du: nmcli connection import type openvpn file client.ovpn, gero altxatu izenez. Editatzen duzun kopia bakarra gisa gorde inportatutako profila, eta ezabatu behin eta berriz deskargatzeagatik metatzen diren bikoiztuak.

Gero probatu LAN-etik kanpo. Sare beretik konektatzeak oso gutxi frogatzen du, trafikoa agian ez baita tunelen barrena pasatzen. Egiaztatu eskaera bat benetan routerretik ateratzen dela, ez bakarrik bezeroak konektatutako egoera erakusten duela.

Erabaki zer egin abisuekin

Etxeko firmwareak normalean bere ziurtagiri-agintaritza sortzen du, eta bezeroek egiaztapenaren aurka kexatzen dira firmwareak isilarazi ezin duen moduan. Ebatzi kexa hori garrantzitsua den zuretzat babesten ari zarena kontuan hartuta, abisu bakoitza hilgarritzat hartu ordez, eta ez desaktibatu egiaztapena modu globalean mezu bakarra isiltzeko. Ebaluatu duzun abisua dokumentatutako arriskua da; desaktibatu duzun egiaztapen-ezarpena ez dago dokumentatuta.

Firmwareak benetan garrantzitsua den abisu bat zuzentzeko modu onarturik eskaintzen ez duenean, hutsune horrek VPNa beste leku batean ostatatzeko arrazoia ematen du. Profila konpontzearen, abisua onartzearen eta amaierako puntua lekuz aldatzearen artean aukeratzea ziurtagiri horretan zenbat fidatzen zaren erabakitzea da. Hartu nahita, eta idatzi zein aukera hautatu duzun, elkarrizketa-koadroetan klik egiten jarraitu beharrean ikonoa berde bihurtu arte.