tls-auth key-direction: caithfidh 0 agus 1 a bheith difriúil, ní mar a chéile

Síníonn taobh amháin den tollán an cainéal rialaithe le sliotán eochrach nach seiceálann an taobh eile riamh, agus faigheann an nasc bás le hearráid fhíordheimhnithe sula ndéantar fiú teastas amháin a mhalartú. Sin é an chuma a bhíonn ar mhí-chomhoiriúnú treorach faoi tls-auth, agus tá sé cinntitheach: teipeann na dhá chomhad chéanna gach iarracht, ó gach líonra. Ní luann aon rud sa log an rogha atá á lorg agat, agus is ar an gcúis sin a athchruthaíonn daoine eochracha agus a atheisíonn siad teastais nár briseadh riamh. Is é an réiteach ná an dá cheann a dhéanamh comhlántach, nó iad araon a fhágáil déthreoch, seach an fhíorú a lagú.

Tarlaíonn an teip roimh na teastais

Le tls-auth coinníonn an dá phiara an eochair chomhroinnte chéanna agus úsáideann gach ceann ceann de dhá shliotán a dhíorthaítear uaithi: síníonn sliotán amháin paicéid rialaithe amach, fíoraíonn an ceann eile iad siúd ag teacht isteach. Sannann treoir 0 agus treoir 1 na róil sin in ord contrártha, mar sin caithfidh an péire a bheith comhlántach chun go dtiocfaidh na seiceálacha HMAC le chéile. Nuair a aisionpraítear an sannadh ar thaobh amháin, lorgaíonn an faighteoir síniú sa sliotán mícheart agus diúltaíonn sé don phaicéad. Críochnaíonn an seisiún ansin, agus is ar an gcúis sin a bhaineann an earráid le fíordheimhniú paicéad seach le rud ar bith a tháirgfeadh an stór teastas.

Tá an chinnteacht tábhachtach don diagnóisic, mar fágann fadhb ama nó cosáin lorg difriúil: briseadh eatramhach, treoir amháin ag teip, nó seisiún a fhaigheann bás ar líonra áirithe amháin. Teipeann mí-chomhoiriúnú treorach ag an gcéad chroitheadh láimhe gach uair, agus teipeann sé ar an gcuma chéanna ar mheaisín eile a bhfuil an dá chomhad chéanna aige. Léigh an log ag --verb 4 agus aimsigh an chéad phaicéad a diúltaíodh seach an líne dheireanach. Má tharlaíonn an diúltú sin roimh aon mhalartú teastas, is iad an eochair chomhroinnte agus a treoir an dá rud ar fiú iad a sheiceáil.

Cá bhfuil an uimhir ina cónaí

Déanann lámhleabhar OpenVPN 2.6 doiciméadú ar dhá áit don treoir: an dara hargóint de tls-auth nuair a bhíonn an eochair i gcomhad dá chuid féin, agus líne key-direction neamhspleách nuair a bhíonn an eochair ionsuite sa phróifíl. Socraíonn an dá cheann an luach céanna, mar sin ba chóir próifíl foirm amháin nó an fhoirm eile a úsáid, ní an dá cheann riamh. Is rogha é an fhágáil ar lár freisin, agus cuireann sé an dá phiara i socrú déthreoch a oibríonn nuair nach n-ainmníonn ceachtar taobh treoir. Níl dhá phiara a bhfuil an uimhir chéanna acu sa socrú sin: tá gach ceann ag súil le síniú i sliotán amháin agus fíorú sa sliotán eile, agus déanann an dá cheann é ar an gcuma chéanna.

# server.conf, external key
tls-auth ta.key 0

# client.ovpn, external key
tls-auth ta.key 1

# client.ovpn, inline key
key-direction 1

Is treoir í an fhoirm ionsuite ar a líne féin, ní tréith ar chlib oscailte an bhloc eochrach, agus is earráid é argóint a chur leis an gclib sin seach athrú treorach. Tá tábhacht leis an suíomh freisin: seasann an treoir lasmuigh den bhloc lena mbaineann sí, mar sin léitear luach a scríobhtar laistigh den bhloc mar ábhar eochrach. Cóipeáil an socrú a bhí beartaithe ag dáileoir na próifíle seach péire a chumadh, mar b'fhéidir go bhfuil próifíl a oibríonn in aghaidh freastalaí amháin scáthmhíochtaithe ar an taobh eile cheana féin.

Cad a fhágann an rogha gan teagmháil

Ní chriptíonn sé trácht feidhmchlár. Cuireann tls-auth HMAC timpeall paicéid an chainéil rialaithe, agus cosnaítear an cainéal sonraí le heochracha seisiúin a chaibidlítear le linn an chroitheadh láimhe, mar sin níl baint ar bith ag ceist tréchuir nó sifir leis an uimhir treorach. Ní chuireann an socrú dara sraith criptithe leis ach an oiread, agus is é an toimhde sin a chuireann daoine ag cuardach eochrach níos faide.

Ní bhaineann sé le tls-crypt, meicníocht chainéil rialaithe eile a bhfuil a roghanna agus a láimhseáil eochrach féin aici, agus ní deir sé aon rud faoi chéannacht teastais aon phiara. Mar sin ní chruthaíonn comhoiriúnú treorach atá ag obair ach go n-aontaíonn an dá cheann ar conas an cainéal rialaithe a fhíordheimhniú, ní go bhfuil an slabhra muiníne bailíochtaithe.

Ailínigh an péire, ansin athnasc

Déan comparáid idir an dá chumraíocht sula n-athraíonn tú ceachtar acu, mar déanann eagarthóireacht ar an taobh a bhí ceart cheana féin an obair a dhúbláil. Taispeánann an grep thíos cén mheicníocht a roghnaíonn gach comhad; taispeánann an rith fhoclach ar fhíordheimhníodh an cainéal rialaithe ar chor ar bith. Coinnigh an dá aschur, ionas gur féidir an chéad athrú eile a chur i gcomparáid le staid aithnid.

grep -n -E 'tls-auth|tls-crypt|key-direction' server.conf client.ovpn
openvpn --config client.ovpn --verb 4 2>&1 | grep -i -E 'hmac|tls error|control channel'

Atosaigh an dá phiara tar éis aon athraithe, mar léitear na roghanna seo uair amháin ag am tosaithe agus fágann athlódáil taobh amháin an péire neamhsheasmhach ar feadh shaolré an tseisiúin shean. Má oibríonn an t-imscaradh faoi láthair gan treoir chumraithe, atáirgeann cur leis an socrú ar phiara amháin an teip a thosaigh tú leis; fág an dá cheann nó cumraigh an dá cheann. Athraigh ceann amháin ag an am agus coinnigh an comhad roimhe seo, ionas gur aischur dhá nóiméad é aischéimniú seach atógáil.

Taifead an mheicníocht, an comhad eochrach agus an treoir do gach ceann i nótaí an imscartha, mar mura ndéanfaidh tú sin léifidh an chéad duine eile dhá chomhad chosúla agus glacfaidh sé leis gur chóir do na huimhreacha teacht le chéile. Is mionsonra comhordaithe í an treoir, ní uasghrádú slándála: scarann sí dhá threoir an chainéil rialaithe agus ní dhéanann sí aon rud eile.