An féidir le teastas RSA oibriú le dh none in OpenVPN?

Seo cumraíocht freastalaí a deir dh none in aice le teastas a deir RSA, chomh maith le hamhras cráiteach go gcaithfidh ceann acu a bheith mícheart. Níl aon rud mícheart. Síníonn an teastas agus fíordheimhníonn sé; bunaíonn an malartú eochracha rún comhroinnte. Is dhá phost éagsúla iad sin sa láimhseáil chéanna, agus ceadaíonn TLS do theastas RSA láimhseáil a fhíordheimhniú a úsáideann comhaontú éifeamrach ar chuar éilipseach.

Tagann an mearbhall de ghnáth le treoir imirce. Deir sé an comhad paraiméadar DH a mhalartú le dh none, tugann an léitheoir faoi deara nach teastas cuar éilipseach é an teastas, agus caitear leis an dá fhíric mar chontrárthacht.

Cén fáth a bhfeictear an dá shuíomh gaolmhar

D'éiligh seanchumraíocht OpenVPN comhad paraiméadar DH mar go dteastaíonn paraiméadair fearainn ó Diffie-Hellman réimse críochta a n-aontaíonn an dá thaobh orthu. Threoraigh an treoir dh chuig an gcomhad sin. Nuair a aistrítear imscaradh chuig ECDH, tagann na paraiméadair ó chuar ainmnithe ina ionad, agus ní theastaíonn an comhad a thuilleadh, rud a chuirtear in iúl le dh none.

Is ais ar leith iad teastais. Iompraíonn siad eochair phoiblí agus síniú a chruthaíonn céannacht an fhreastalaí, agus féadfaidh an eochair sin a bheith RSA nó cuar éilipseach is cuma conas a aontaítear eochair an tseisiúin. Tá láimhseáil a úsáideann ECDHE le haghaidh comhaontú eochrach agus RSA le haghaidh fíordheimhnithe coitianta agus scaipthe go forleathan.

Déanann an t-ainmniú an forluí níos measa. Tá cuar éilipseach le feiceáil in ainmneacha suite ECDHE agus ECDSA araon, mar sin is furasta glacadh leis go gcaithfidh teastas cuair a bheith in aon nasc a luann cuar. Ní hamhlaidh atá.

Ainm suite TLS 1.2 a léamh i gceart

Tóg ECDHE-RSA-AES256-GCM-SHA384. Is é an chéad chomhartha an teaghlach malartaithe eochracha: Diffie-Hellman éifeamrach ar chuar éilipseach. Is é an dara ceann an teaghlach fíordheimhnithe: RSA. Déanann an chuid eile cur síos ar chosaint taifead agus ar an hais a úsáidtear sa láimhseáil.

Úsáideann suite ECDHE-ECDSA an teaghlach malartaithe eochracha céanna le modh fíordheimhnithe difriúil, mar sin teastaíonn teastas cuar éilipseach uaidh. Úsáideann suite DHE-RSA Diffie-Hellman éifeamrach réimse críochta le fíordheimhniú RSA, agus teastaíonn paraiméadair DH ón gceann sin go deimhin.

Léigh ainm suite ó chlé go deas agus sann gach cuid dá phost. Nuair a dhealaítear na comharthaí, athraíonn an cheist ó «an bhfuil mo theastas ag teacht le dh none» go «an gceadaíonn mo fhreastalaí suite nach dteastaíonn comhad DH óna malartú eochracha».

Cad a dhíghníomhaíonn dh none i ndáiríre

Deir dh none leis an bhfreastalaí gan comhad paraiméadar DH réimse críochta a lódáil. Ní dhíghníomhaíonn sé fíordheimhniú, bailíochtú teastas ná TLS féin. Éilíonn sé áfach go mbeadh an malartú eochracha comhaontaithe ar cheann nach dteastaíonn na paraiméadair sin uaidh, rud a chiallaíonn go praiticiúil suite ECDHE nó láimhseáil TLS 1.3.

Is ón riachtanas sin a thagann an mhilleadh. Má tá polasaí sifear TLS an fhreastalaí teoranta do shuíteanna DHE, nó mura dtugann cliant ach iad, ní fhágann baint an chomhaid paraiméadar aon mhodh malartaithe eochracha inúsáidte agus teipeann ar an láimhseáil. Tagann an earráid de ghnáth le linn láimhseála an chainéil rialaithe, roimh aon fhíordheimhniú úsáideora. Léigh an liosta sifear sula gcuireann tú an comhad atá ar iarraidh ina leith.

Ar thaobh an chuair éilipsigh, roghnaíonn cumraíocht TLS an fhreastalaí an cuar, agus cuireann OpenVPN rogha ar fáil chun é a roghnú ar bhrainse níos sine. Láimhseálann TLS 1.3 idirbheartaíocht an ghrúpa laistigh den phrótacal agus ní fhéachann sé ar an gcomhad DH ar chor ar bith.

Ní íslithe slándála ann féin é dh none. Braitheann neart an mhalartaithe ansin ar an gcuar agus ar an suite a ndéantar idirbheartaíocht orthu i ndáiríre, agus sin é an fáth gurb é an chéad chéim eile féachaint ar an rud a roghnaigh na piaraí seachas ar an gcomhad atá ar iarraidh.

An idirbheartaíocht a dheimhniú roimh eagarthóireacht

Ardaigh leibhéal na mionsonraí ag an bhfreastalaí agus ag an gcliant agus léigh líne an chainéil rialaithe a phriontálann OpenVPN tar éis naisc. Ainmníonn sé leagan TLS agus an sifear comhaontaithe, agus tuairiscíonn sé cineál eochrach theastas an phiar. Freagraíonn an líne amháin sin don cheist nach ndéanann an comhad cumraíochta ach í a thabhairt le tuiscint.

Má thaispeánann sé TLS 1.2 le suite ECDHE-RSA agus teastas RSA, is é an meascán go díreach an rud a bhfuil súil ag dh none leis, agus níl aon rud le deisiú. Má thaispeánann sé suite DHE nó teip láimhseála gan sifear comónta, tá an leigheas i bpolasaí na sifear nó i gcumas an chliaint, ní sa teastas.

Tástáil an cliant is sine a bhfuil rún agat tacú leis, mar is féidir le cliant reatha TLS 1.3 a idirbheartú agus cliant níos sine teoranta do shuíteanna TLS 1.2. Mura bhfuil aon fhorluí ag an gcliant is sine, leathnaigh na suites ceadaithe nó uasghrádaigh an críochphointe sin.

Ná múch fíorú teastas chun teip láimhseála a shárú. Tá an teip ag insint duit nár éirigh leis na piaraí comhaontú ar mhalartú eochracha, agus baineann múchadh an tseiceála an ráthaíocht céannachta gan aghaidh a thabhairt ar an gcomhaontú.

Seicliosta: an teastas RSA, an bhfuil suite ECDHE ceadaithe, an léiríonn an logáil an suite sin, agus an ndéanann an cliant tacaíochta is sine é a idirbheartú freisin? Má tá na ceithre cinn go léir, tá dh none ag déanamh a chuid oibre.