Leigheasann SECLEVEL=0 an siomptóm, ní an teastas

Teipeann nasc OpenVPN, aimsíonn duine ceartú aon líne a chuireann SECLEVEL=0 leis, agus éiríonn an tollán. Níorbh é an teastas agus níorbh é an tsraith sifear a d'athraigh; bhog tairseach glactha ar fud an leabharlainne, agus faigheann gach rud a dhéanann an próiseas ina dhiaidh sin an teorainn nua le hoidhreacht. Is fiú é sin a thuiscint sula gcóipeáiltear an líne chéanna isteach i ngach próifíl ar an bhfeirm.

Aimsigh cé acu leabharlann agus cé acu beartas atá i bhfeidhm

Is coincheap OpenSSL é SECLEVEL, mar sin is é an chéad cheist an n-úsáideann do thógáil OpenSSL ar chor ar bith. Is féidir OpenVPN a nascadh le níos mó ná leabharlann chripteagrafaíochta amháin, agus tá socruithe a bhaineann le ceann acu gan chiall do na cinn eile. Fiafraigh den dénártha cad a tógadh é, ansin fiafraigh den leabharlann cén leagan agus cumraíocht a lódáil sé:

openvpn --version | head -3
openssl version -a

Léigh aschur an leagain go cúramach, mar déanann dáiltí paistí ar na réamhshocruithe. Seolann roinnt acu cumraíocht chórais a ardaíonn an leibhéal íosta os cionn réamhshocraithe upstream, agus sin an fáth a n-iompraíonn an próifíl chéanna é féin go héagsúil ar dhá mheaisín le pacáistí OpenVPN comhionanna. Is é an beartas éifeachtach an ceann a lódáil an próiseas atá ag rith, ní an ceann sa lámhleabhar upstream.

Ansin scar an dá chiseal a mhearbhaíonn daoine. Tá a rialuithe TLS féin ag OpenVPN, lena n-áirítear socrú próifíle teastais agus liostaí sifear soiléire, agus seasann siadsan os cionn gach rud a fhorchuireann an leabharlann. Ní athraíonn ísliú leibhéal na leabharlainne cé na sifir a liostaíonn do chumraíocht OpenVPN, agus ní ardaíonn cúngú liosta OpenVPN tairseach na leabharlainne. Is é a bheith ar eolas agat cé acu ciseal a dhiúltaigh duit an rud a choinníonn an ceartú ó bheith ina bhuille faoi thuairim.

Scar na trí rud ar féidir iad a dhiúltú

Is é an chéad iarrthóir ábhar aitheantais: teastas a bhfuil a eochair ró-bheag nó nach nglacann an beartas lena algartam sínithe a thuilleadh. Is é an dara ceann paraiméadar malartaithe eochrach, mar ghrúpa a mheasann an beartas a bheith ró-lag. Is é an tríú ceann sraith sifear a eisiann an beartas. Féadann an triúr acu teip handshake a chruthú, agus ní dhealraíonn ach téacs na hearráide agus céim an chaibidlíochta iad.

Ní hé aon cheann den triúr sin sifear an chainéil sonraí. Caibidlíonn OpenVPN a chriptiú tolláin ar leithligh ón handshake TLS, mar sin ní deir nasc a n-éiríonn leis tar éis athrú ar leibhéal slándála aon rud faoi cé acu sifear a chosnaíonn do shonraí. Má bhaineann an cheist atá á cur agat i ndáiríre le rúndacht sonraí, tá tú ag féachaint ar an gcnaipe micheart ar fad.

Méadaíonn ísliú an leibhéil an ghlacadh do na trí ionchur ag an am céanna. Sin an chuid a chailleann daoine: glacann an ceartú a admhaíonn seanteastas le grúpa lag agus le sraith freisin nach raibh sé i gceist agat a cheadú b'fhéidir. Bhí earráid amháin mar chúis leis an athrú, agus tá an t-athrú níos leithne ná an earráid. Is é an neamhshiméadracht sin an chúis go bhfuil eisceacht chuimsithe níos fearr ná réamhshocrú don fheirm ar fad.

Athraigh an t-ionchur, ní an tairseach

Caomhnaigh an earráid bheacht sula dteagmhálann tú leis an gcúmraíocht, lena n-áirítear an chéim a thuairiscigh í agus an réad a d'ainmnigh sí. Réitítear fadhb teastais tríd an teastas a athsholáthar le rud a nglacann an beartas reatha leis, rud a chiallaíonn de ghnáth é a ath-eisiúint ón údarás seachas an comhad céanna a athshuiteáil.

Má bhaineann an t-ionchur diúltaithe le piar nach rialaíonn tú, is é an comhrá le húinéir an phiara sin faoi ábhar athsholáthair tacaíochta. Má ísleann tú do thairseach féin chun córas nach gcoimeádann aon duine a chur in oiriúint, aistrítear an costas uathu chuig gach duine a nascann ina ndiaidh.

San áit a gcuireann an freastalaí an beartas i bhfeidhm, seiceáil an é socrú ag leibhéal OpenVPN an fhíorchúis sula gcuireann tú an milleán ar an leabharlann. Teipfidh próifíl teastais a éilíonn aicme níos déine ná mar is féidir leis an teastas imscartha a shásamh, is cuma cén leibhéal slándála a bhíonn ann, agus is athrú níos cúinge é an phróifíl sin a bhaint ná seiceálacha na leabharlainne a mhúchadh.

Mura mbeidh ort é a ísliú, cuimsigh agus taifead é

Uaireanta is é eisceacht chomhoiriúnachta ceadaithe an freagra ceart, go háirithe do sheanphiar a bhfuil plean scoir dátaithe aige. Cuimsigh é don tseirbhís a bhfuil sé uirthi seachas don fhost ar fad: tá ga tionchair níos lú ag comhad cumraíochta in aghaidh na seirbhíse nó ag cumraíocht OpenSSL tiomnaithe ná ag onnmhairiú sa phróifíl dhomhanda.

Scríobh ceithre rud leis an eisceacht: an socrú beacht, an t-úinéir a cheadaigh é, na cliaint a mbíonn sé orthu, agus an coinníoll faoina mbaintear é. Is lagú buan é eisceacht gan choinníoll scoir a bhfuil údar sealadach ceangailte leis.

Ba chóir go mbeadh an rolladh siar ina chéim amháin atá tástáilte agat cheana. Coinnigh an chumraíocht roimhe seo, cuir an t-athrú i bhfeidhm, deimhnigh go dtosaíonn an tseirbhís, agus bíodh a fhios agat go beacht cén comhad a chuirfear ar ais má iompraíonn an chéad nasc eile é féin go héagsúil ó mar a bhíothas ag súil leis.

Fíoraigh an t-aitheantas agus an chosaint ina dhiaidh sin

Ní chruthaíonn nasc rathúil ach go nglacann na coinníollacha athbhreithnithe leis. Deimhnigh go bhfuil fíorú ainm an fhost agus an phiara fós ag déanamh a chuid oibre, gurb é an teastas atá in úsáid an ceann a bhí beartaithe agat a imscaradh, agus go gcomhfhreagraíonn an cainéal sonraí caibidlithe don bheartas a cheapann tú atá agat.

openssl x509 -in /etc/openvpn/client.crt -noout -subject -dates -text | grep -E 'Signature Algorithm|Public-Key'
openvpn --show-tls | head -20

Deir tagairt leibhéal slándála OpenSSL go soiléir go gcuireann an creat teorainneacha ar eochracha, sínithe, grúpaí agus sraitheanna le chéile, agus go gceadaíonn leibhéal nialasach gach rud a sheiceálann an t-aisghlao. Sin scóip an méid a d'athraigh tú, agus sin an abairt leis an gceist a fhreagairt nuair a fhiafraíonn duine an raibh an ceartú cúng.

Deir an t-aistriú a mhaireann trí iniúchadh cé acu beartas a dhiúltaigh cé acu ionchur, cad a athraíodh, agus cad a fhanann glactha dá bharr. Is breathnóireacht ar nasc amháin é „Oibríonn sé le SECLEVEL=0“, ní measúnú slándála ar an imscaradh.