Zein OpenVPN paketek babesten ditu auth laburpenak?
auth aukerak profila iradokitzen duena baino gutxiago hartzen du. Aztertu kanala, AEAD kasua eta kontrol-kanalaren babesa laburpen-politika ezarri aurretik.
OpenVPN laburpenei buruzko eztabaida gehienak pakete okerretik hasten dira. auth SHA256 «SHA256 eskaintzen duten parekideak soilik onartu» gisa irakurtzea da lehenik ahaztu beharrekoa. Aukerak pakete jakin batzuetarako laburpen bat izendatzen du, eta zein pakete diren kanalaren eta kanal hori AEAD den ala ez araberakoa da. Landu beheko lau galderak ordenan; bakoitzak estutzen du ezarpenak zure inplementazioan zer esan dezakeen.
Izenda ezazu ezarpenak babestu behar duen kanala
OpenVPN kanal bat du TLS eskuko tratuaren trafikoa daramana eta datu-kanal bat tunelaren karga daramana. auth laburpenak bietan du zeregina, baina ez berbera, eta profilak gutxitan egiten du aldea ikusgarri. Idatz ezazu bietatik zein murrizten saiatzen zaren konfigurazio-fitxategi bat ukitu aurretik.
Beheko taula aukera bera testuinguru bakoitzean nola geratzen den azaltzen duen bertsio laburra da.
| Context | What the auth digest does |
|---|---|
| Data channel without AEAD | Selects the HMAC digest that authenticates each data packet |
| Data channel with AEAD, such as GCM | Unused for the data channel; the cipher authenticates its own packets |
| Control channel protected by tls-auth | Selects the HMAC digest for that protection, even when data is AEAD |
Egiaztatu datu-kanala AEAD den, harengan fidatu aurretik
Adostutako datu-zifratzailea AES-GCM edo CHACHA20-POLY1305 bada, datu-kanalak bere burua autentikatzen du eta laburpen bereiziak ez du zu agian irudikatzen ari zaren lana egiten. Biak AEAD eraketak dira, beraz osotasuna karga zifratzen duen eragiketa berak sortzen du. Hori ez da maila-jaitsiera, baina esan nahi du «datu-pakete bakoitza HMAC-SHA256 da» gisa justifikatutako politika gainazal horretan faktikoki okerra dela. Berretsi adostutako balioa zerbitzariaren erregistroan edo bezeroaren egoera-irteeran politika berridatzi aurretik.
Aztertu benetan adostutako zifratzailea profilaren zerrendaren ordez, negoziazioak multzoko beste kide batean gera baitaiteke. data-ciphers AES-256-GCM:AES-128-GCM negoziazio-zerrenda da, eta bi sarrerak AEAD dira, beraz batak ere ez du auth laburpena kargaren babeserako erabiltzen.
Hartu kontrol-kanalaren babesa erabaki propio gisa
tls-auth-ek HMAC gehitzen die kontrol-kanaleko paketeei eta bere laburpena auth ezarpenetik hartzen du, horregatik AEAD tunel batek oraindik laburpen esanguratsua konfiguratuta izan dezake. tls-crypt beste antolaketa bat da, bere babes finkoarekin, beraz ez ezazu pentsa tls-auth-en propietate guztiak heredatzen dituenik. Irakurri aukeratu duzun mekanismoaren dokumentazioa, haien artean suposizioak transferitu ordez.
Bi parekideek antolaketan eta gakoaren norabidean ere ados egon behar dute. Bat datorren laburpenak, baina norabide okerrean erabilitako gako-fitxategiak, laburpen-ezarpenak azaldu ezin dituen arrazoiengatik porrot egiten duen eskuko tratu bat sortzen du.
Eduki auth zifratzaileen negoziaziotik eta ziurtagirietatik bereizita
Hiru ezarpen etengabe nahasten dira: auth laburpena, datu-zifratzaileen zerrenda eta ziurtagiriaren sinadura-algoritmoa. Lehena aldatzeak ez du ziurtagiria berriro igortzen, ez du haren sinadura-laburpena hautatzen eta ez du erabiltzaile-pasahitz metodoa sortzen. Protokolo-aukeren definizioek OpenVPN 2.6 iturrietan bakoitza bere atalean deskribatzen dute, eta hori gogorarazpen erabilgarria da botoi independenteak direla.
Parekide batek laburpen-aldaketaren ondoren konektatzeari uko egiten badio, arrazoia beste bi ezarpenetako baten desadostasuna izaten da. Irakurri bi muturrak edozein aldatu aurretik.
Idatzi politika eta alderatu martxan dauden konfigurazioekin
Flota-mailako adierazpen batek baimendutako datu-kanalaren moduak eta hautatutako kontrol-kanalaren babesa esplizituki aipatu beharko lituzke, esaldi berean. Esaldi hori egiaztagarria da; «SHA256 erabiltzen dugu» ez da. Gero alderatu zerbitzari eta bezero profil eraginkorrekin, biltegiko txantiloi batekin baino.
Amaitu tunel bakoitzak benetan zer adostu zuen eta zein mekanismok autentikatu zituen haren paketeak erregistratuz. Profil bateko auth lerro ikusgaiak konfigurazio-asmoaren froga baino ez dira, eta asmoa egiaztapenaren zatirik merkeena da.