Cén fáth nach féidir le openssl rand an eochair a theastaíonn ó tls-crypt a chruthú

Tá OpenSSL suiteáilte cheana féin, tá eantrópacht ag an óstríomh, agus mothaíonn sé mar an aicearra soiléir eochair a ghiniúint leis. Beidh an t-aschur randamach agus rúnda agus go hiomlán neamhúsáideach, agus tagann an teip mar earráid cainéil rialaithe seachas mar rud a luann formáid eochrach. Is í an mhíthreoir sin an chuid chostasach, mar seolann sé daoine chun a gcuid siothlaigh a iniúchadh. Is éard a léann an VPN struchtúr comhaid ar leith, ní bloc beart treallach, agus ní féidir ceann amháin de na hathruithe ar an ngné a tháirgeadh lasmuigh den fhreastalaí ar chor ar bith.

Cad é go díreach a chaithfidh an comhad ar an diosca a bheith

Is téacs é comhad eochrach statach OpenVPN. Tosaíonn sé le líne tráchta a dhearbhaíonn cad é, iompraíonn sé sonraí heicsidheachúla i sraitheanna de leithead seasta, agus is ionann é agus 256 beart d’ábhar eochrach ar fad. Léann OpenVPN é mar rún comhroinnte an chainéil rialaithe, ní mar theastas, ní mar phasfhrása agus ní mar rud a d’aithneodh leabharlann TLS.

Freastalaíonn an cineál céanna réada ar an dá ghné den chainéal rialaithe. Le tls-auth, teastaíonn treo ó gach piara freisin ionas nach féidir bearta thaobh amháin a fhrithchaitheamh ar ais air. Le tls-crypt, criptíonn agus fíoraíonn aon rún comhroinnte amháin an cainéal rialaithe sa dá threo, rud a cheileann an chroitheadh láimhe agus a chosnaíonn é ag an am céanna.

Ní eolas rúnda aon rud díobh sin, agus ní hé an fhormáid an pointe. Is é an pointe ná go gcaithfidh an comhad teacht go beacht leis an méid a bhfuiltear ag súil leis: ceanntásc, leithead sraithe, líne nua dheireanach agus fad iomlán. Luchtaítear comhad atá sraithe amháin as mar bhruscar nó teipeann sé go hiomlán. Mar sin is tástáil chéadúil dhlisteanach é dhá phiara a chur i gcomparáid beart ar bheart, agus tá sé níos tapúla ná ceachtar den dá chomhad cumraíochta a léamh.

An bealach tacaíochta chun ceann a dhéanamh

Gin an eochair statach shimplí leis an uirlis a ídeoidh í, agus ansin tagair di ón dá cheann:

openvpn --genkey secret /etc/openvpn/tc-shared.key
tls-crypt /etc/openvpn/tc-shared.key

D’athraigh litriú an rogha le himeacht ama: d’úsáideadh suiteálacha níos sine ó ré 2.4 foirm le bratach ar leith roimh ainm an chomhaid, agus glacann builí reatha leis an gceann níos giorra. Ar aon chaoi is é an cineál céanna réada an comhad a thagann as, mar sin is é an tseiceáil ná an bhfuil bearta comhionanna ag an dá phiara.

Cuireann an dara glúin struchtúr leis nach féidir le haon ghineadóir seachtrach a chumadh. Cruthaítear eochair freastalaí uair amháin, agus faigheann gach cliant eochair fhillte a dhíorthaítear uaithi:

openvpn --genkey tls-crypt-v2-server /etc/openvpn/tc-v2-server.key
openvpn --genkey tls-crypt-v2-client /etc/openvpn/laptop1.key --tls-crypt-v2 /etc/openvpn/tc-v2-server.key

Ní hé an eochair féin atá ag an bhfreastalaí, dúbláilte, a fhaigheann an cliant. Is réad fillte é a iompraíonn meiteashonraí nach féidir ach leis an bhfreastalaí a dhífhillteadh, agus is é an fhilleadh sin an chúis ar féidir comhad in aghaidh na gléise a chúlghairm gan teagmháil le haon ghléas eile. Coinnigh eochair an fhreastalaí ar an bhfreastalaí agus caith léi mar fhréamh an mhuinín sin in aghaidh na gléise.

Cá dteipeann ar bhearta déanta de láimh

Thabharfadh sé comhad eochrach statach a luchtáiltear, go teoiriciúil, 256 beart randamacha a phriontáil mar heics faoi cheanntásc ceart. Is drochbheith fós é. Éiríonn gach mionsonra formáidithe ina dheis ábhar a tháirgeadh a theipeann ag am luchtaithe nó, níos measa, a fhágann dhá phiara le luachanna difriúla nach nochtann iad féin ach mar theip fíoraithe.

Níl aon rud coibhéiseach indéanta leis an leagan v2. Ní bhíonn eochair cliaint fhillte ann ach mar aschur ó phróiseas eochrach an fhreastalaí, agus coimeádann an freastalaí an t-ábhar a theastaíonn chun í a dhífhillteadh. Diúltófar do bhloc randamach nó ní éireoidh leis a dhíchriptiú go simplí, agus ní luafaidh ceachtar den dá theachtaireacht randamacht.

Luíonn comhoiriúnacht leaganacha ar bharr seo go léir. Teastaíonn eisiúint ón gcéad ghlúin a thacaíonn léi ag an dá cheann, agus teastaíonn eisiúint níos nuaí arís ón dara ceann. Ní féidir le cliant a tógadh sula raibh an ghné ann croitheadh láimhe a chríochnú le freastalaí nach nglacann ach le hábhar fillte, agus díríonn an teip a thuairiscíonn sé ar an gcainéal rialaithe seachas ar an leagan.

Rothlú gan gach duine a fhágáil amuigh

Is cleachtadh comhordaithe é rún comhroinnte amháin a rothlú seachas ceann teicniúil. Teastaíonn an comhad ionaid ó gach cliant sula dtarraingíonn an freastalaí siar an ceann roimhe, agus teipeann ar aon mheaisín a choinníonn an seanluach go fóill an nóiméad a tharlaíonn sé sin. Ná cuir tús leis an rothlú sin i lár an lae oibre.

Le socrú v2, tá an rothlú in aghaidh na gléise: eisigh eochair fhillte nua do mheaisín amháin agus scoir an ceann sean don mheaisín sin amháin. Sin an príomhargóint le bogadh a luaithe a bhíonn gach cliant ar eisiúint a thacaíonn leis.

Baineann ceadanna comhaid leis an gcomhrá céanna. Ba cheart go mbeadh an eochair inléite ag an gcuntas a ritheann an tseirbhís amháin, agus nár cheart di a bheith ina cónaí sa stór céanna leis na próifílí a chosnaíonn sí. Déanann treoir OpenVPN 2.6 doiciméadú ar na foirmeacha giniúna agus ar na hailt faoi ábhar eochrach, rud is foinse níos fearr ná ordú cóipeáilte ó phost fóraim.