8192 biteko gakoek eskuko agurra blokeatzen dute; 1024 biteko DHa baztertzen da

Zerbitzari batean bezeroak denbora batez zintzilik geratzen dira eta gero berriz konektatzen dira, eta beste batek berehala ukatzen ditu konexioak gakoaren tamainari buruzko mezuarekin. Errore desberdinak dirudite eta errore bera da, aurkako noranzkoetara begira. Eskuko agurraren kriptografiak kostu bat du parametroen tamainarekin hazten dena, eta badu beheko muga bat, liburutegi modernoak jaisten ez direna. Materialaren tamaina zehaztea kontrol-zerrenda da, eta lehen puntua bi erroreetako zein duzun benetan erabakitzea da.

Irakurri hutsegitea ezer birsortu aurretik

Denborak kontatzen dizu gehiena. Segundo batzuk hartu eta gero hiltzen den agur batek esan nahi du normalean kalkuluak parearen pazientzia gainditu duela, eta horrek hardwarearentzat edo itxaronaldirako parametro handiegiak adierazten ditu. Gako edo talde tamaina bat aipatzen duen berehalako ukapenak beste aldera seinalatzen du, liburutegiak inola ere onartuko ez duen materialera.

Biek aurkako zuzenketak behar dituzte, eta hemen huts egiten dute saiakerarik gehienek. 8192 biteko parametroak birsortzeak talde txiki bat jada ukatu duen bezero batean kasu motela okertzen du, eta azkarrarentzat ezer ez du egiten. Idatzi zein sintoma ikusi duzun fitxategi bat ukitu aurretik.

Gero egiaztatu pareari zer eskatzen zaion. Eremu finituaren talde handi baterako konfiguratutako zerbitzari batek bezero bakoitza CPU denbora bera gastatzera behartzen du birsolasadako bakoitzean, ez soilik konektatzean. Arazoa abiaraztean baino tarte erregular batean agertzen bada, tarte hori zein ezarpen den garestia adierazteko pista sendoa da. Birsolasaldiak kalkulu osoa errepikatzen du, beraz orduro itzultzen den blokeoa normalean behin eta berriz ordaintzen den kostu bera da.

Kasu motela: hardwareak ordaindu ezin duen materiala

Diffie-Hellman eta RSAren lana azkar hazten da gakoaren tamainarekin, eta hori guztia tunelaren trafikorik pasa aurretik gertatzen da. Router txiki batean edo potentzia baxuko bezero batean, talde nahiko handi batek trukea beste aldearen itxaronalditik haratago bultza dezake, eta konexioak berriro saiatzen du edo hutsegiterik gabe zintzilik dagoela ematen du.

Konponbidea pare bakoitzak onartzen duen eta gailu bakoitzak eroso kalkula dezakeen tamainara jaistea da. 2048 biteko RSA gakoa eta 2048 biteko taldea oinarri zabal bateragarria izaten jarraitzen dute; handiagoak soilik laguntzen du alde guztiak ados daudenean eta CPUak birsolasaldi bakoitzean ordain dezakeenean. Oinarri horren gainetik dagoen guztia borondatezko trukea da, ez hobekuntza.

Tamaina ez da puntuazioa, eta konparazio-taula bateko zenbakirik handiena ez da automatikoki aukera zuzena. Aukeratu zure politikak uzten duen eta pare guztiek onartzen duten balio txikiena, eta gero neurtu agurra, hobetu dela suposatu beharrean. Oraindik itxaronaldia agortzen duen talde txikiago batek esaten dizu tamaina ez zela inoiz istorio osoa.

Kasu azkarra: liburutegiak ukatzen duen taldea

OpenSSLren eraikuntza modernoek eremu finituaren talde txikienak erabat ukatzen dituzte, eta igotako segurtasun mailak beheko muga areago igotzen du. Hamarkada batzuetako parametro-fitxategia daraman router firmwarea ohiko iturria da, eta sintoma taldea edo gako tamaina aipatzen duen mezuarekin berehala huts egiten duen konexioa da. Hutsegite horretan ezer ez da aldizkakoa, eta horrek erraz ezagutzen laguntzen du.

Ordeztu fitxategia, konfigurazioa editatu eta egiaztapena saltzearen ordez. Sortu uneko talde bat, balidatu, eta gero instalatu daemonak benetan irakurtzen duen tokian. Eutsi fitxategi zaharrari bezero bat berriarekin behar bezala konektatu arte:

openssl dhparam -out /etc/openvpn/ffdhe2048.pem 2048
openssl dhparam -in /etc/openvpn/ffdhe2048.pem -check -noout
ls -l /etc/openvpn/ffdhe2048.pem

Egiaztapen-komandoak fitxategia balidatzen du eta ez du ezer erabilgarririk inprimatzen gainditzen duenean; zerrendak baieztatzen du zerbitzuak kargatzen duen fitxategia ordeztu duzula, ez ondoan dagoen kopia zaharra. Zuzendu konfigurazioa bide horretara, berrabiarazi daemona eta baieztatu lehenago huts egiten zuen bezero batek orain agurra osatzen duela.

Zerbitzariak segurtasun maila edo ziurtagiri-profil bat ere ezartzen badu, irakurri horiek taldea oker zegoela ondorioztatu aurretik. Klase zorrotzagoa eskatzen duen profil batek lehenespenez onartuko lukeen materiala ukatu dezake, eta ezarpen hori kentzea egiaztapena globalki desgaitzea baino aldaketa estuagoa da.

Aukeratu tamaina parearentzat eta hardwarearentzat

Jakizu urruneko aldeak zer jasan dezakeen zerbait exotikoa sortu aurretik. 2048 biteko taldearentzat zahiegi den gailu bat ordezkatzeko gailua da, zerbitzaria talde ahulago batera zuzentzeak bateragarritasun-kexa bat etendura bihurtzen baitu soilik. Konponbide iraunkorrek software berriagorantz egiten dute, ez parametro zaharragorantz. Arlo honetako aldi baterako salbuespen bakoitzak konfigurazio iraunkor bihurtzeko modua du.

Zerbitzariaren CPUa muga den tokian, aldatu algoritmoa politikaren azpitik jaitsi beharrean. X25519 bezalako kurba eliptikoko gako-trukea eremu finituaren talde handi bat baino askoz merkeagoa da eta ondo onartzen da, eta horrek errendimendu-kexa bati erantzun hobea egiten dio RSA modulu txikiago bat baino.

Edozer aukeratzen duzula ere, probatu konexio erreal batekin eta begiratu agurrak zenbat irauten duen, ez soilik azkenean konektatzen duen. Hamabi segundotan lortzen den konexioak erro-kausa bera du hamabostetan huts egiten duenak.

Idatzi aukera, berreraikitze batek ez dezan indargabetu

Eduki parametro-fitxategia konfigurazio-kudeaketaren pean eta idatzi ondoan tamaina, arrazoia eta data. Berreraikitako zerbitzari batek isilean bere balio lehenetsiak sortzea da errore bera sei hilabete geroago itzultzeko modua, inork jatorrizko erabakia azaldu ezin duelarik.

Idatzi informazio bera muturraren eta profilaren ondoan, berrikuspen batek fitxategi-tamainatik berreraiki behar ez dezan. Hurrengo konexioa blokeatzen denean, ohar hori bost minutuko egiaztapen baten eta ikerketa berri baten arteko aldea da. Hurrengo ingeniariari kasu motela azkarrarentzat pentsatutako konponbide batekin ebaztea ere eragozten dio.