OpenVPN TLS zifratze-errorea: alderatu bi muturrak lehenik

«Zifratze komunik ez» errorea aldatu beharreko ezarpen bakarra ematen du, eta jende gehienak aldatzen duen ezarpena okerra da. OpenVPN politika bereiziak ditu TLS esku-ematea egiten duen kontrol-kanalerako eta tunelean barrena paketeak daramatzan datu-kanalerako, eta erroreak lehena aipatzen du jendeak bigarrena editatzen duen bitartean. Mutur bakoitzak zer onartzen duen ordena egokian alderatzeak asmatzea bi edo hiru erabaki bihurtzen ditu: bertsioa, gero suite zerrenda, gero kredentzialak.

Ordena hori okerrean egiten baduzu, ordu bat galtzen ahal duzu inoiz kontsultatu ez den zerrenda bati AES izena gehitzen.

Bi zifratze-zerrenda, eta bakarra da esku-ematea hausten duena

Kontrol-kanalak TLS saio bat negoziatzen du, eta bere politika honekin idazten da: tls-cipher TLS 1.2rako eta tls-ciphersuites TLS 1.3rako. Datu-kanala aparte ezartzen da honekin: data-ciphers, non desadostasunak konexioa ezartzen duen eta gero trafikoa pasatu ezin duen. Biek zifratzeak aipatzen dituzten erroreak sortzen dituzte, eta horregatik nahasten dira. Inoiz amaitzen ez den esku-emateak kontrol-kanalari seinalatzen dio, eta paketeak galtzen dituen tunel ezarriak datu-kanalari.

Irakurri mezu osoa, ez lehenengo lerroa. Bertsio-desadostasunak, falta den suite batek, muturrak ukatzen duen ziurtagiri-sinadura algoritmoak eta ostalari-izenaren egiaztatzeak huts egiteak TLS errore batean amaitzen dira denak, eta horietako bakarra da zure suite zerrendari buruzkoa. Kategoria horiek bereiztea da diagnostikoaren zatirik handiena.

Alderatu bertsioak suiteak alderatu aurretik

TLS 1.2ra mugatutako mutur batek eta 1.3 eskatzen duen mutur batek ez dute bertsiorik partekatzen, eta inolako zifratze-kateak ez du hori zubitzen. Idatzi tls-version-min eta tls-version-max bi aldeetan, edo erabiltzen diren build-en balio lehenetsiak, distribuzio baten OpenSSL politikak muga handitu baitaiteke OpenVPN aukerarik ezer esan gabe. Alde bat gailu bat edo hirugarrenen bezeroa bada, bere leihoa firmwareak uzten duena da. Leihoek bat egiten dutenean bakarrik du zentzurik suite alderaketak.

Erregistro horiek benetako binarioak ere izendatu beharko lituzkete. openvpn komando-lerrokoa zure eramangarrian ez da nahitaez inportatutako profila kudeatzen duen bezeroa.

TLS 1.2 eta TLS 1.3 zerrendak ez dira nahasten

TLS 1.2 suite izenak honela daude: ECDHE-RSA-AES256-GCM-SHA384 eta honetan daude: tls-cipher, OpenSSL zifratze-kate bat onartzen duena. TLS 1.3 suiteek honela dute izena: TLS_AES_256_GCM_SHA384 eta honetan daude: tls-ciphersuites; bat 1.2 katean gehitzeak ez du 1.3 zerrenda ezartzen, eta parserrak testua onar dezake inoiz bat etorri gabe. Bertsio baterako zuzena den iragazkiak ez du ezer esaten besteaz. Idatzi zein bertsiotarako den zerrenda bakoitza.

openvpn --show-tls tokiko build-ak zer onartzen duen inprimatzen du, eta hori inbentarioa da, ez promesa: urruneko muturrak agian ez ditu suite horiek onartzen, eta profil aktiboak agian ez ditu gaitzen. Erabili ezazu suite bat batere eskaini ezin duen build bat baztertzeko, eta gero alderatu konfiguratutako zerrendak.

Frogatu negoziazioa konexio berri batean

Esku-emate arrakastatsua da kontuan hartzen den froga bakarra, eta benetako bezeroarengandik etorri behar da, benetako profilekin. Igo zerbitzariaren xehetasun maila, konektatu behin, eta irakurri logetik negoziatutako protokolo bertsioa eta suitea, lehen eskainitako balioak irabazi duela suposatu beharrean. Gero egiaztatu datu-kanala aparte tuneletik pasatako trafikoarekin, esku-emate lan egiten duena eta datu-kanal huts egiten duena konponketa desberdinak baitira. Errepikatu edozein konfigurazio aldaketaren ondoren, bezero-profil zaharkitua faltsu negatibo ohikoa baita.

Onartutako konfigurazio komunik ez badago, erantzuna bertsio-berritze bat edo migrazio-plan bat da, ez politika ahuldu bat. tls-version-min jaistea, egiaztatzea desgaitzea edo suite zahar guztiak gaitzea ukapena kentzen du hura sortu zuen segurtasun-baldintza bete gabe.

Idatzi negoziatutako bertsioa, suitea eta datu-zifratzea aldaketa-txartelean. TLS errore bat aurkituko duen hurrengo pertsona erregistro horretatik hasiko da, foroko mezu batean aurkitutako zifratze-kate batetik beharrean.