Cé na paicéid OpenVPN a chosnaíonn an digest auth?
Clúdaíonn an rogha auth níos lú ná mar a thugann próifíl le tuiscint. Siúil an cainéal, an cás AEAD agus cosaint an chanála rialaithe sula socraíonn tú polasaí digest.
Tosaíonn an chuid is mó de na díospóireachtaí faoi dhigist OpenVPN leis an bpacáid mhícheart. Is é an chéad rud atá le dífhoghlaim auth SHA256 a léamh mar «ná glac ach le piaraí a thairgeann SHA256». Ainmníonn an rogha digest do phaicéid áirithe, agus braitheann cé na paicéid sin ar an gcainéal agus ar cé acu atá an cainéal sin ina AEAD. Oibrigh trí na ceithre cheist thíos in ord; cúngaíonn gach ceann díobh an rud is féidir leis an socrú a chiallú i do chur i bhfeidhm.
Ainmnigh an cainéal atá an socrú le cosaint
OpenVPN tá cainéal rialaithe aige a iompraíonn trácht lámhchrann TLS agus cainéal sonraí a iompraíonn ualach an tolláin. Tá ról ag an digest auth sa dá cheann, ach ní an ról céanna, agus is annamh a dhéanann an phróifíl an difríocht sofheicthe. Scríobh síos cé acu den dá rud a bhfuil tú ag iarraidh a shrianadh sula dtéann tú i dteagmháil le comhad cumraíochta.
Is é an tábla thíos an leagan gairid de conas a thagann an rogha chéanna i ngach comhthéacs.
| Context | What the auth digest does |
|---|---|
| Data channel without AEAD | Selects the HMAC digest that authenticates each data packet |
| Data channel with AEAD, such as GCM | Unused for the data channel; the cipher authenticates its own packets |
| Control channel protected by tls-auth | Selects the HMAC digest for that protection, even when data is AEAD |
Seiceáil an bhfuil an cainéal sonraí ina AEAD sula mbíonn tú ag brath air
Má tá an tsifir sonraí idirbheartaíochta ina AES-GCM nó CHACHA20-POLY1305, déanann an cainéal sonraí féin-fhíordheimhniú agus ní dhéanann an digest ar leith an obair a shamhlaíonn tú b'fhéidir. Is tógálacha AEAD iad an dá cheann, mar sin cruthaítear sláine leis an oibríocht chéanna a chriptíonn an t-ualach. Ní ísliú céime é sin, ach ciallaíonn sé go bhfuil polasaí a bhfuil údar leis mar «is HMAC-SHA256 gach pacáid sonraí» mícheart go fíorasach ar an tollán sin. Deimhnigh an luach idirbheartaíochta i loga an fhreastalaí nó in aschur stádais an chliaint sula scríobhann tú an polasaí arís.
Scrúdaigh an tsifir a idirbheartaíodh i ndáiríre seachas an liosta sa phróifíl, mar is féidir leis an idirbheartaíocht teacht ar chomhalta eile den tacar. data-ciphers AES-256-GCM:AES-128-GCM is liosta idirbheartaíochta é, agus tá an dá iontráil ina AEAD, mar sin ní ídíonn ceachtar acu an digest auth chun an t-ualach a chosaint.
Caith le cosaint an chanála rialaithe mar chinneadh ar leith
Cuireann tls-auth HMAC le paicéid an chanála rialaithe agus tógann sé a digest ón socrú auth, agus sin an fáth is féidir digest bríoch a bheith cumraithe fós ar thollán AEAD. Is socrú difriúil é tls-crypt lena chosaint shocraithe féin, mar sin ná glac leis go n-oidhreoidh sé gach saintréith tls-auth. Léigh an doiciméadú don mheicníocht a roghnaigh tú seachas boinn tuisceana a aistriú eatarthu.
Caithfidh an dá phiara aontú freisin ar an socrú agus ar threo an eochair. Táirgeann digest a mheaitseálann ach comhad eochrach a úsáidtear sa treo mícheart lámhchrann a theipeann ar chúiseanna nach féidir le socrú an digest a mhíniú.
Coinnigh auth ar leith ó idirbheartaíocht sifir agus ó theastais
Meascann trí shocrú go leanúnach: an digest auth, an liosta sifirí sonraí agus algartam sínithe an teastais. Ní atheisíonn athrú an chéad cheann teastas, ní roghnaíonn sé a dhigest sínithe agus ní chruthaíonn sé modh úsáideora-focal faire. Déanann na sainmhínithe ar roghanna prótacail sna foinsí OpenVPN 2.6 cur síos ar gach ceann ina rannóg féin, rud a mheabhraíonn go héifeachtach gur cnaipí neamhspleácha iad.
Nuair a dhiúltaíonn piara nascadh tar éis athrú digest, is é an chúis de ghnáth neamhréir i gceann den dá shocrú eile. Léigh an dá cheann sula n-athraíonn tú ceachtar acu.
Scríobh an polasaí síos agus cuir i gcomparáid le cumraíochtaí atá ag rith é
Ba cheart do ráiteas ar leibhéal na loingse modhanna ceadaithe an chanála sonraí agus cosaint roghnaithe an chanála rialaithe a ainmniú go sainráite, san abairt chéanna. Tá an abairt sin inbhraite; níl «úsáidimid SHA256» inbhraite. Ansin cuir i gcomparáid é le próifílí éifeachtacha freastalaí agus cliaint seachas le teimpléad i stór.
Críochnaigh trí thaifeadadh cad a idirbheartaigh gach tollán i ndáiríre agus cén mheicníocht a rinne fíordheimhniú ar a phaicéid. Níl i líne auth infheicthe i bpróifíl ach fianaise ar rún cumraíochta, agus is é an rún an chuid is saoire den seiceáil.