Comhad DH nó eochair tls-auth? Dhá chomhad OpenVPN a aithint

Dhá chomhad, dhá threoir agus nós an dá cheann a ainmniú i ndiaidh an ruda a chumraíonn siad. Mar sin a chríochnaíonn dh.pem ar líne tls-auth agus teipeann ar an gcliaint le teachtaireacht faoi fhormáid eochrach gan choinne. Ní hé an cinneadh atá romhat cé an comhad is láidre. Is é cé na ról a theastaíonn ón imscaradh i ndáiríre, agus socraíonn trí choinníoll é sin: cén malartú eochrach a dhéanfaidh do chruach TLS a chaibidliú, ar mhaith leat fíordheimhniú an chanáil rialaithe ar chor ar bith, agus an gcaithfidh an t-ábhar fanacht rúnda.

Freagair iad sin in ord agus freagróidh ceist an chomhaid í féin. Má sheachnaíonn tú iad tosóidh ainmneacha na dtreoracha ag breathnú inmalartaithe, agus is é sin go beacht an staid as a dtagann an botún.

Léigh an lipéad roimh ainm an chomhaid

Tá an chéad líne den chomhad níos faisnéisí ná a ainm, mar is gnás daonna ainm agus is é an uirlis a tháirgeann an lipéad. Iompraíonn paraiméadair Diffie-Hellman lipéad PEM BEGIN DH PARAMETERS. Is struchtúr iomlán difriúil é eochair statach OpenVPN, lena cheannteideal féin agus a phálasta heicsidheachúil.

Ní thiontaíonn athainmniú aon rud. Is paraiméadair fós comhad paraiméadar darb ainm ta.key, agus is eochair statach fós eochair statach darb ainm dh.pem; léann an parsálaí an t-ábhar agus diúltaíonn sé don mhíréir. Seiceáil sula ndéanann tú eagarthóireacht ar an bpróifíl:

head -n 1 dh.pem
head -n 1 ta.key

Trí choinníoll a chinneann cén comhad a theastaíonn uait

Is é an chéad choinníoll an malartú. Teastaíonn grúpa ó chroitheadh láimhe Diffie-Hellman i réimse críochta, agus is é an treoir dh an áit a n-ainmníonn an freastalaí na paraiméadair dó. Ní theastaíonn an comhad sin ar chor ar bith ó chroitheadh láimhe ar chuar éilipseach, mar is é an cuar an tacar paraiméadar. Mura gcaibidlíonn do fhreastalaí ach tacair ECDHE, is meáchain mharbh é comhad DH seachas neart breise.

Is é an dara coinníoll fíordheimhniú na canála rialaithe, gné ar leith lena hábhar féin. Is eochair statach chomhroinnte é comhad tls-auth a choinníonn an dá phiara, a úsáidtear chun paicéid na canála rialaithe a shíniú ionas nach féidir le piara neamhfhíordheimhnithe an croitheadh láimhe a chríochnú fiú. Bíonn sé ann cibé acu a úsáideann tú DH réimse críochta nó nach n-úsáideann, agus níl baint ar bith aige leis na paraiméadair ghrúpa.

Is é an tríú coinníoll rúndacht agus dáileadh. Is féidir paraiméadair DH a fhoilsiú gan an seisiún a lagú, mar gintear na luachanna rúnda in aghaidh gach croitheadh láimhe agus ní fhágann siad na piara riamh. Ní féidir eochair statach a fhoilsiú: is iad na bearta céanna ag an dá cheann í, ní rothlaíonn sí léi féin, agus féadann aon duine a bhfuil sí aige síniú bailí na canála rialaithe a tháirgeadh. Tá na freagraí sin ag cur i dtreo rialacha láimhseála atá iomlán difriúil, agus is ar an ábhar sin is féidir le comhad amháin fanacht i stór agus an ceann eile gan fanacht.

Gin an t-ábhar ceart do gach ról

Úsáid an uirlis a tháirgeann an fhormáid a mbíonn súil ag an treoir léi seach a bheith ag tiontú eatarthu. Maidir leis an eochair chomhroinnte ar OpenVPN 2.6, deir an fhoirm chlóscríofa den ghineadóir an cuspóir go sainráite.

openvpn --genkey tls-auth ta.key

Cruthaíonn an t-ordú sin ábhar rúnda nua; ní dheisíonn sé ná ní scrúdaíonn sé eochair atá ann cheana, agus tugann rith arís eochair dhifriúil duit nach bhfuil ag na piara eile. Cóipeáil an comhad a thagann as chuig na piara a bhfuil sé de dhíth orthu trí chainéal a d'úsáidfeá le haghaidh aon rún comhroinnte, agus coinnigh coinbhinsiún an treo comhsheasmhach: le tls-auth úsáideann taobh amháin key-direction 0 agus an taobh eile key-direction 1.

Tagann paraiméadair DH, nuair a bhíonn siad uait, ó ghiniúint paraiméadar seachas ó ghineadóir eochrach, agus tá a mbunús tábhachtach cé go bhfuil an t-aschur poiblí. Ní éiríonn grúpa a tarraingíodh ó fhoinse anaithnid iontaofa de bhrí go bhfuil sé poiblí; caithfidh sé fós a bheith ina ghrúpa a n-aontaíonn do phiaraí leis agus ceann nach laghdaítear lena mhéid ná lena chonstrukt.

Cad a dhéanann dh none agus cad nach ndéanann

dh none is fíortreoir é le brí chúng: ní lódálfar aon chomhad paraiméadar réimse críochta, mar úsáideann an croitheadh láimhe Diffie-Hellman ar chuar éilipseach. Ní gearrthóg é ar «scip an chéim DH» sa chiall go lagódh sé rud ar bith, agus go cinnte ní insíonn sé d'OpenVPN glacadh le comhad éigin eile mar ionadaí.

Tagann dhá bhotún as é a léamh go mícheart. Is é an chéad cheann glacadh leis go mbainfeadh dh none an gá le tls-auth, nuair a rialaíonn an dá rud rudaí difriúla. Is é an dara ceann líne dh atá as dáta a choinneáil le hais cumraíochta cuar-amháin agus ansin fiafraí cén comhad a úsáideann an freastalaí i ndáiríre; má tá an treoir i láthair, léitear an comhad, agus teipeann cosán briste ansin ar an tosú ar chúis nach bhfuil baint aici leis an malartú a chaibidleofar.

Má tá an comhad mícheart imscartha cheana

Athchóirigh an rún beartaithe ó úinéir na próifíle agus ná bain le fíorú an teastais agus tú á dhéanamh. Is míréir fhormáide é an teip, ní teip iontaobhais, agus cuireann díchumasú an fhíoraithe chun an earráid a sheachaint fadhb tosaithe in áit fadhb chiúin.

Ansin scar an dá eachtra a mbíonn claonadh ag daoine iad a chónascadh. Tá foilsiú comhad paraiméadar DH beagnach neamhdhíobhálach, mar bhí na paraiméadair phoiblí de réir dearaidh. Is eachtra eile é eochair tls-auth a nochtadh: fíordheimhníonn an eochair paicéid na canála rialaithe do gach piara a bhfuil sí aige, mar sin caithfear an t-athsholáthar a chomhordú ar fud an imscartha seachas a chur i bhfeidhm ar aon óstach amháin.

Socraíonn seiceáil cúig nóiméad cén cás ina bhfuil tú: léigh an chéad líne de gach comhad, deimhnigh an treoir a thagraíonn dó, agus deimhnigh go n-oireann dáileadh an chomhaid don rud a éilíonn an t-ábhar. Is obair níos lú é sin ná PKI oibre a athghiniúint, agus is chuige sin a bhí na trí choinníoll ag tagairt an t-am ar fad.