خطای احراز هویت HMAC بسته OpenVPN: کدام لایه؟
عدم تطابق برچسب بسته حکمی درباره حساب نیست. پروفایلی را که فرایند بارگذاری کرده است مقایسه کنید، سپس تنظیمات کانال کنترل و کانال داده، پیش از آنکه به کلیدها دست بزنید.
دو خرابی با یک واژگان گزارش می‌شوند و تقریباً هیچ اشتراکی ندارند. یکی بسته‌ای است که برچسب احراز هویت آن تأیید نشد؛ دیگری شخصی است که اعتبارنامه‌اش رد شد. برخورد با اولی به‌عنوان دومی شما را به جست‌وجوی گذرواژه‌ای می‌فرستد که هرگز مشکل نبود.
پیام یک لایه را نام می‌برد و کار مفید این است که پیش از جایگزینی هر ماده‌ای تصمیم بگیرید کدام لایه است. مقایسه نامزدها کنار هم سریع‌ترین راه دیدن تفاوت است.
دو خرابی که یک واژه را شریک‌اند
خطای احراز هویت بسته هنگام پردازش ترافیک رخ می‌دهد: برچسب یا خلاصه‌ای روی بسته دریافتی با آنچه گیرنده محاسبه کرده بود مطابقت نداشت. رد حساب پس از تجزیه تبادل ورود رخ می‌دهد و کاربر را نام می‌برد، نه بسته را. پیام سوم، درباره ناتوانی در یافتن HMAC در بسته ورودی، باز هم متفاوت است، چون آنجا بسته اصلاً بدون عنصر احراز هویت مورد انتظار رسیده است. پیشوند کامل گزارش به شما می‌گوید کدام یک از این سه را دارید، و پیشوند معمولاً نخستین چیزی است که هنگام چسباندن خطا در تیکت حذف می‌شود.
این تمایز تعمیر را تغییر می‌دهد. یکی هم‌خوانی تنظیمات کانال را می‌طلبد، دیگری وضعیت حساب را، و سومی پروفایلی را که با شنونده‌ای که به آن رسیده مطابقت ندارد.
مقایسه کنید فرایند در حال اجرا واقعاً چه بارگذاری کرده است
یک فایل درست روی دیسک درباره فرایندی که پیش از ویرایش آن آغاز شده چیزی را اثبات نمی‌کند. پروفایل انتخاب‌شده، نقطه پایانی‌ای که با آن تماس گرفته، و اینکه سرویس از زمان تغییر دوباره بارگذاری شده است یا نه را بررسی کنید. همچنین تأیید کنید که نقطه پایانی به پروفایل تعلق دارد، چون نمونه دیگر یا سرویس دیگر می‌تواند جایی گوش دهد که فایل قدیمی چیزی دیگر انتظار دارد.
صادرات دوباره یک پروفایل پشتیبانی‌شده از همان منبع مقایسه‌ای ارزان است، چون انحراف میان آنچه فکر می‌کنید تنظیم شده و آنچه کارخواه واقعاً می‌فرستد را برمی‌دارد. تولید ماده کلید تازه گامی بسیار بزرگ‌تر است و تنها وقتی کمک می‌کند که دو طرف آن را با هم بپذیرند. جایگزینی یک طرف به‌صورت محلی همان عدم تطابقی را بازمی‌سازد که می‌کوشیدید بردارید.
کانال کنترل را با کانال داده مقایسه کنید
دو سازوکار بخش‌های مختلف یک اتصال را احراز هویت می‌کنند و جداگانه پیکربندی می‌شوند، همان‌طور که مرجع گزینه‌های 2.6 توصیف می‌کند. tls-auth یک HMAC به بسته‌های کانال کنترل می‌افزاید و آرگومانی جهتی می‌گیرد که باید در دو همتا مخالف باشد، در حالی که tls-crypt به‌جای آن کانال کنترل را با یک کلید مشترک محافظت می‌کند. هیچ‌یک بررسی یکپارچگی خود کانال داده نیست. با رمز داده AEAD آن بررسی درون خود رمز ساخته شده است، پس auth خلاصه جداگانه به آن شکلی که با رمز غیر AEAD استفاده می‌شود استفاده نمی‌شود.
یعنی یک خط auth کپی‌شده از یک استقرار غیر AEAD عامل می‌تواند در استقرار AEAD بی‌ربط باشد، و استقرار AEAD هنوز می‌تواند در کانال کنترل شکست بخورد اگر tls-auth کلید یا جهت آن نادرست باشد. هر تنظیم را با همتا مقایسه کنید، نه با پیکربندی به‌یادمانده.
تعمیر را با ویژگی‌ای که از آن می‌گذرید مقایسه کنید
غیرفعال کردن احراز هویت بسته هشدار را خاموش می‌کند و بررسی‌ای را که عدم تطابق را یافت برمی‌دارد، که با تعمیر پروفایل یکی نیست. بپرسید از چه ویژگی‌ای می‌گذرید و آیا طراحی بدون آن هنوز می‌ایستد.
پیش از تغییر هر چیزی نخستین رویداد مربوط را در دو سر بخوانید، سپس تنها همان عدم تطابقی را تغییر دهید که نام می‌برد.
اگر تلاش بعدی تا خطای گواهی یا ورود پیش برود، این پیشرفت است نه پسرفت: لایه بسته اکنون هم‌نظر است و اتصال جلوتر رفته است. تنظیماتی را که تغییر را پدید آوردند ثبت کنید، تا نفر بعد به‌جای معما توضیحی به ارث ببرد.