OpenVPN tls-ciphersuites vs tls-version-min: cad a fhorfheidhmíonn gach ceann

Déantar trí fhíric éagsúla a chomhdhlúthú in aon líne amháin i bhformhór na bpléanna OpenVPN TLS: cad is féidir le do thógáil cliaint a dhéanamh, cad a cheadaíonn an phróifíl, agus cad a rinne an seisiún a idirbheartú i ndáiríre. Ní fhreagraíonn gearrliosta sraith TLS 1.3 ach leath na ceiste láir, agus ní deir sé aon rud faoi urlár an leagain phrótacail. Téigh trí na seiceálacha thíos in ord agus stop ag an gcéad cheann nach seasann, mar glacann gach seiceáil ina dhiaidh sin go bhfuil na cinn roimhe seo socraithe.

Seiceáil an tógáil sula léann tú aon liosta

Ní féidir le treoir chumraíochta tacaíocht phrótacail a chur le dénár nach bhfuil sí aige. Tosaigh leis an mbaner leagain, a ainmníonn an leabharlann chripteagrafaíochta tiomsaithe:

openvpn --version

Glacann tógáil 2.6 atá nasctha le OpenSSL le tls-cipher agus tls-ciphersuites araon. Níl aon roghnú sraithe TLS 1.3 ag tógáil le mbed TLS, agus cuireann lámhleabhar 2.6 síos ar tls-ciphersuites mar rogha OpenSSL. Má atógáiltear an freastalaí le backend eile, féadfaidh an phróifíl chéanna a hiompar a athrú gan aon líne amháin den chumraíocht a athrú.

Agus tú anseo, rith openvpn --show-tls agus coinnigh an t-aschur. Is é sin an fhardal a gcuirfidh tú i gcomparáid leis níos déanaí, agus is saor é a ghabháil sula dtosaíonn aon duine ag cur próifílí in eagar.

Scríobh an baner agus an liosta sa ticéad athraithe, ní i bhfuinneog chomhrá. Nuair a bhíonn beirt ag aighneas faoi ar féidir le cliant sraith a thairiscint i gceann sé seachtaine, socraíonn an t-aschur gafa é in aon líne amháin.

Coinnigh teorainneacha leagain scartha ó liostaí sifféar

Sa lámhleabhar 2.6 is trí rialú iad seo, ní ceann amháin:

• Socraíonn tls-cipher an pholasaí sifféar do TLS 1.2 agus níos luaithe, agus cuirtear chuig liosta sifféar OpenSSL é;
• Roghnaíonn tls-ciphersuites sraitheanna TLS 1.3;
• Cuireann tls-version-min agus tls-version-max teorainn leis na leaganacha prótacail is féidir leis an gceangal a úsáid.

Mar sin ní chruthaíonn liosta sraithe TLS 1.3 atá bearraithe go cúramach aon rud faoi leagan níos sine a bheith fós ceadaithe. Más é an ceanglas «TLS 1.3 amháin», is é urlár an leagain a iompraíonn é, agus ní dhéanann an liosta sraithe ach na roghanna laistigh den urlár sin a chúngú:

tls-version-min 1.3
tls-ciphersuites TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256

Déanann an péire sin dhá phost. Má scriosann tú ceann de na línte, fágtar an ceann eile ag forfheidhmiú níos lú ná mar a cheapfá, agus sin go díreach an teip a bhfuil an tseiceáil iomlán seo ann chun í a ghabháil.

Is é an cainéal sonraí an ceathrú rialú. Idirbheartaíonn data-ciphers an sifféar siméadrach laistigh den tollán, agus ní deir a thoradh aon rud faoi leagan TLS an chainéil rialaithe. Ní fianaise ar TLS 1.3 é AES-256-GCM a fheiceáil sa chomhshuíomh seisiúin, i gceachtar treo.

Léigh show-tls mar fhardal áitiúil

Liostaíonn --show-tls na sraitheanna a thacaíonn an leabharlann chripteagrafaíochta ar nascadh an dénár seo léi, in ord tosaíochta. Ní tuarascáil ón ngéata í. Deir an lámhleabhar go sainráite go dtagann an liosta ón leabharlann áitiúil, rud a chiallaíonn go gclóifidh ríomhaire glúine le OpenSSL 3.x agus ródaire le tógáil níos sine liostaí éagsúla agus iad ag labhairt leis an bhfreastalaí céanna.

Cuir i gcás go dtacaíonn cliant le sraitheanna A, B agus C agus go roghnaíonn seisiún amháin B. Ní shocraíonn sé sin aon rud faoi cé acu a cheadaíonn an freastalaí A nó C, ná faoi cé acu an é B an t-aon rogha cheadaithe atá aige. Coinnigh na trí shraith scartha, agus réiteoidh formhór na snáitheanna TLS mearbhall iad féin.

Is fiú an fhardal a choinneáil mar sin féin. Nuair a theipeann ar sheisiún, insíonn comparáid idir liosta na leabharlainne agus liosta na próifíle duit ar bhí aon seans ag an gcliant an rud a theastaigh ón bhfreastalaí a thairiscint. Taispeánann sé freisin ar bhain athrú backend TLS_CHACHA20_POLY1305_SHA256 den chomhthiomsú a bhfuil cliaint níos sine ag brath air go ciúin — an cineál aischéimnithe a thagann chun solais mar dhornán úsáideoirí nach féidir leo ceangal, agus gan aon duine eile ag tabhairt faoi deara aon rud.

Cuir ceist ar an ngéata ar féidir leis a fhreagairt

Má riarann tú an tseirbhís, scrúdaigh cumraíocht éifeachtach an tsampla atá ag rith seachas comhad ar an diosca. B'fhéidir gur tosaíodh OpenVPN le cosán --config eile, go dtarraingíonn sé cuimsiú, agus nach bhfuil sé atosaíodh ón eagarthóireacht. Is é polasaí an daemon atá ag rith an rud a chastar ar chliaint.

Mura riarann tú é, iarr ar an oibreoir na riachtanais cliaint a thacaítear leo nó tástáil ghlactha scóipeáilte. Ní sraith diúltaithe go huathoibríoch í iarracht dhiúltaithe: féadann urlár leagain, seiceálacha aitheantais teastais ar nós remote-cert-tls, nó mí-mheaitseáil idir tls-auth agus tls-crypt deireadh a chur leis an malartú sula mbíonn tábhacht le roghnú sraithe. Léigh earráid an fhreastalaí sula n-athraíonn tú liosta an chliaint, mar chlúdaíonn «handshake failed» ceithre chúis éagsúla agus ní hé ach ceann amháin díobh mí-mheaitseáil sifféar.

Ní atáirgeann díriú openssl s_client ar an bport VPN an cheist ach an oiread. Ritheann an cainéal rialaithe laistigh de fhrámáil OpenVPN féin, mar sin tástálann probe TLS amh prótacal eile ar phort a bhfuil rud éigin eile ag súil leis. Baineann aon chonclúid a tharraingítear as leis an probe, ní leis an tollán.

Taifead dhá thoradh agus coinnigh scartha iad

Táirgeann seisiún ceadaithe úr líne chainéil rialaithe a ainmníonn leagan an phrótacail agus an sifféar roghnaithe, agus líne ar leith de chainéal sonraí a ainmníonn sifféar an tolláin. Gabh an dá cheann le leagan an chliaint agus ainm na próifíle, agus tabhair faoi deara cén sampla freastalaí a d'fhreagair:

openvpn --config office.ovpn --verb 4 2>&1 | tee session.txt

Ansin léigh an dá líne as an gcomhad sin seachas as cuimhne. Is é an péire an fhianaise; is rogha é ainm sraithe amháin, agus is ráiteas ar leith é teorainn an leagain faoi cad a dhiúltaíonn an freastalaí.

Rith na seiceálacha san ord seo. Deimhnigh an tógáil agus an backend le --version. Gabh --show-tls sula n-athraíonn tú aon rud. Luaigh an t-urlár leagain atá ag teastáil ar leith ón liosta sraithe. Deimhnigh polasaí éifeachtach an tsampla atá ag rith lena úinéir. Breathnaigh ar sheisiún ceadaithe amháin agus, má cheadaíonn an plean é, ar iarracht dhiúltaithe amháin le leagan níos sine. Taifead torthaí an chainéil rialaithe agus an chainéil sonraí mar fhionnachtana ar leith.

Mura féidir le cliant riachtanach íosmhéid nua a shásamh, déan an cinneadh imirce nó eisceachta sin go sainráite seachas riail ghlactha neamhghaolmhar a ísliú go ciúin chun go mbeadh cuma chríochnaithe ar an rolladh amach.