Hoe OpenVPN data-ciphers de sifersoarte fan it datakanaal kiest

De tunnel komt omheech, it log lit in sifer sjen en de profylresinsje giet troch. Dan komt der in upgrade by in partner en itselde profyl mislearret mei in berjocht oer gjin mienskiplik sifer, wat minsken op sykstjoert nei in rjochtline om te wiskjen. It nuttige om te begripen is dat data-ciphers in ûnderhanneling beskriuwt, net in ynstelling. De iene kant biedt in list oan, de oare kiest dêrút, en it resultaat is ien algoritme dat beide stypje. It lêzen fan dy útwikseling ferklearret de measte fan dizze mislearrings foardat jo ien rigel feroarje.

Twa kanalen, twa konfiguraasjes

In OpenVPN-sesje hat in kontrôlekanaal en in datakanaal. It kontrôlekanaal rint de TLS-hânjouwing út dy't de partners autentisearret en kaaien ûnderhannelet. It datakanaal fersiferet de pakketten dy't jo ferkear drage.

data-ciphers konfigurearret it twadde. It kontrôlekanaal hat syn eigen opsjes, en de identiteitskontrôles fan it profyl binne in tredde, aparte saak. In feroaring oan it iene makket it oare net rjocht, en dêrom kin in profyl korrekt lykje en dochs mislearje by in beskate faze.

Hâld de trije yn har eigen fakken as jo in konfiguraasjebestân lêze.

Lês de ûnderhanneling út it log

It klientlog neamt beide resultaten as de ferbining slagget. Ien rigel rapportearret it kontrôlekanaal en syn TLS-details, en in oare rapportearret it datakanaal-sifer dat keazen is.

Lês beide, want se beantwurdzje ferskillende fragen. In flater yn it kontrôlekanaal stopet de ferbining foardat hokker datasifer dan ek ta saak docht. In ôfwiking yn it datakanaal ferskynt nei in slagge hânjouwing, mei in berjocht oer gjin mienskiplik sifer.

Fergelykje dan de oanbeane listen oan beide kanten. In namme dy't de ferzje fan ien partner of syn krypto-êftergrûn net leveret, kin net keazen wurde, hoe betiid oft it ek yn 'e list fan 'e oare partner ferskynt.

Hoe't de kar eins bart

De tsjinner stjoert syn data-ciphers-list by de hânjouwing nei de klient, en de klient kiest it earste item yn dy list dat er sels ek stypje. De folchoarder heart dus by de konfiguraasje fan 'e tsjinner, net by dy fan 'e klient.

Dat detail ferklearret in klasse fan betiizjende resultaten. It weryndieljen fan 'e list fan 'e klient feroaret neat wylst de list fan 'e tsjinner beslút. It tafoegjen fan in sifer dat de klient net leverje kin feroaret ek neat, want de klient moat it item dat er kiest brûke kinne.

Nijere ferzjes feroaren de standertlist en neamden de opsje oars dy't dy eartiids befette, sadat twa partners op ferskillende ferzjes it net iens wêze kinne sûnder dat immen in profyl bewurket. Kontrollearje de ferzje oan elke kant foardat jo in typflater ferûnderstelle.

In list is yn it abstrakte gjin ranglist fan sterkte. It is in set kandidaten, en de keazen ien is it earste ûnderling stipe item yn 'e folchoarder fan 'e tsjinner. Dêrom kinne twa listen dy't oars lykje deselde sifer ûnderhannelje. Dat is ek wêrom't twa listen dy't identyk lykje mislearje kinne.

Aldere partners hawwe in bewuste reserve nedich

In partner dy't hielendal net ûnderhannelje kin, om't er âlder is as it meganisme of it útskeakele hat, hat in dokumintearre kompatibiliteitsregeling nedich. De reserve-opsje bestiet krekt foar dat gefal en jildt foar partners dy't net oan 'e ûnderhanneling meidogge.

Dat is net itselde as elke âlde sifer ynskakelje om in berjocht ferdwine te litten. In brede list ferswakket de sesje foar elke partner, ek foar dejingen dy't eat sterks ûnderhannele hiene.

Koördinearje de twa kanten ynstee fan net-relatearre algoritmenammen te bewurkjen. As in tsjinner-upgrade in âlde opsje fuorthelle hat, heart de repaasje yn it ferzjeplan, net yn in hastich sykjen by de klient.

Hâld de ferifikaasje yntakt

In ôfwiking fan it datakanaal is gjin reden om in net-ferifiearre tsjinner te akseptearjen. Sertifikaatferifikaasje, de ferwachte tsjinnernamme en de beskermingsynstellingen fan it kontrôlekanaal steane los fan 'e siferkar en moatte elke kompatibiliteitsferoaring oerlibje.

Skriuw it ûnderhannele datasifer, de klientferzje en de tsjinnerferzje byinoar op, sadat de folgjende fergeliking fan feiten útgiet en net fan it profylbestân.

Test nei in stipe repaasje de begjinferbining en in nije ûnderhanneling, want in sesje dy't ien kear ta stân komt kin by it fernijen fan kaaien noch mislearje.

As de tunnel ta stân komt en siden mislearje noch, is it sifer net langer de fertochte. Gean troch mei routing en DNS. Wurkfolchoarder: lês beide logrigels, fergelykje beide listen, kontrolearje ferzjes, foegje in reserve allinnich ta foar in partner dy't ien nedich hat, en test dan it fernijingspaad opnij.