OpenVPN લોગ: નિયંત્રણ ચેનલનો સાઇફર વિરુદ્ધ ડેટા ચેનલનો સાઇફર

DHE-RSA-AES256-SHA નું નામ આપતી લોગ લાઇન સમગ્ર કનેક્શનનો સારાંશ નથી. તે તે TLS હેન્ડશેક સાથે સંબંધિત છે જે નિયંત્રણ ચેનલનું રક્ષણ કરે છે, અને ટનલની અંદરની ટ્રાફિક સંપૂર્ણપણે અલગ રીતે એન્ક્રિપ્ટ થઈ શકે છે. તેને VPN નો ડેટા સાઇફર તરીકે રજૂ કરવો તે ભૂલ છે જેનાથી બચવું જોઈએ.

બે પરિણામો મહત્વપૂર્ણ છે, અને તે અલગ પ્રશ્નોના જવાબ આપે છે. એક નિયંત્રણ ચેનલ માટે સંમત TLS સ્યૂટ છે; બીજું ટનલ દ્વારા વહન થતા પેકેટોનો ડેટા સાઇફર છે.

બે પરિણામો, બે પ્રશ્નો

નિયંત્રણ ચેનલ હેન્ડશેક અને સાથીઓ વચ્ચેના વ્યવસ્થાપન સંદેશા વહન કરે છે. તેનો સાઇફર TLS સ્ટેક પસંદ કરે છે, તેથી નામ TLS પરંપરાઓનું પાલન કરે છે. ડેટા ચેનલ વપરાશકર્તાની ટ્રાફિક વહન કરે છે અને તેને OpenVPN ની પોતાની સાઇફર વાટાઘાટ કન્ફિગર કરે છે.

બંનેમાંથી કોઈપણ લાઇન વાંચતા પહેલા નક્કી કરો કે તમે કયા પ્રશ્નનો જવાબ આપી રહ્યા છો. ટનલ એન્ક્રિપ્ટેડ છે કે નહીં અને હેન્ડશેક મજબૂત છે કે નહીં તે એક જ પ્રશ્ન નથી.

બંને લાઇન દર્શાવતો લોગ અંશ ઉપયોગી છે. નિયંત્રણ લાઇન TLS આવૃત્તિ અને સ્યૂટ માટે વાંચો, અને ડેટા લાઇન તે એલ્ગોરિધમ માટે જે ખરેખર પેલોડનું રક્ષણ કરે છે.

TLS સ્યૂટનું નામ તેના પોતાના સંદર્ભમાં સમજો

OpenSSL શૈલીના ઐતિહાસિક નામમાં, જેમ કે DHE-RSA-AES256-SHA, દરેક ઘટક અલગ નિર્ણય વર્ણવે છે. DHE અલ્પકાલીન Diffie-Hellman કી કરાર છે, RSA પ્રમાણીકરણ પદ્ધતિ છે, AES256 TLS રેકોર્ડ માટે CBC મોડમાં AES-256 છે, અને SHA SHA-1 આધારિત રેકોર્ડ MAC છે.

છેલ્લું ઘટક પ્રમાણપત્રનું ફિંગરપ્રિન્ટ નથી, અને તેને એ રીતે વાંચવું સામાન્ય ભૂલ છે. નામ પોતાની જાતે પ્રોટોકોલ આવૃત્તિ પણ જણાવતું નથી, કારણ કે TLS 1.3 સંપૂર્ણપણે અલગ નામકરણ યોજના વાપરે છે. TLS_AES_256_GCM_SHA384 તે નવા સ્વરૂપને અનુસરે છે, જેમાં અંતિમ હેશ સ્યૂટની રચનાનો ભાગ છે, MACની પસંદગી નહીં. ઘટક-આધારિત વાંચન ફક્ત જૂની નામકરણ શૈલી પર લાગુ કરો.

OpenSSL સ્યૂટ સંદર્ભ આ નામોને તેમની વ્યાખ્યાઓ સાથે જોડે છે જો કોઈ ઘટક અપરિચિત હોય.

વહન થતી ટ્રાફિક માટે ડેટા ચેનલનું પરિણામ વાંચો

વહન થતી ટ્રાફિક માટે તે જ સત્રની ડેટા ચેનલ લાઇન વાંચો. કન્ફિગરેશનમાં data-ciphers સૂચિ માન્ય સમૂહ છે, કોઈ ચોક્કસ એલ્ગોરિધમ સંમત થયાનો પુરાવો નથી. લોગ પસંદગી નોંધે છે; કન્ફિગરેશન મેનુની યાદી આપે છે.

AES-GCM જેવો AEAD સાઇફર પોતાની અખંડિતતા તપાસ સાથે લાવે છે, તેથી અલગ ડેટા ચેનલ HMAC તે માર્ગનો ભાગ નથી.

auth સૂચના TLS, પ્રમાણપત્રો અથવા ડેટા સાઇફરને અપગ્રેડ કરતી નથી. તે પ્રોટોકોલના જે ભાગો હજી એક વાપરે છે તેમના માટે ડાઇજેસ્ટ પસંદ કરે છે, અને AEAD ડેટા સાઇફર સાથે કન્ફિગર કરવા માટે અલગ ડેટા HMAC નથી.

ઓળખ તપાસ સાઇફરના પરિણામની બહાર રાખો

પ્રમાણપત્રનું સહી એલ્ગોરિધમ, વિશ્વાસ શૃંખલાની માન્યતા અને સાથીના નામની ચકાસણી ત્રણ વધુ ગુણધર્મો છે જેમના વિશે સાઇફરનું નામ કંઈ કહેતું નથી. સમાપ્ત પ્રમાણપત્ર નિષ્ફળ જાય છે, સ્યૂટ ગમે તેટલું મજબૂત હોય. ન મળતું સર્વર નામ એ જ રીતે નિષ્ફળ જાય છે. પ્રોફાઇલમાં ડાઇજેસ્ટ સેટિંગ સુધારવી બંનેમાંથી કોઈને સુધારતી નથી.

આ તપાસ સમીક્ષા નોંધમાં સાઇફરના પરિણામની બાજુમાં રાખો, તેમાં ભેળવો નહીં.

વર્તમાન સત્રના સંમત પરિણામો નોંધો

વર્તમાન કનેક્શનના પરિણામો લો અને તેમની સાથે ક્લાઇન્ટ અને સર્વરની આવૃત્તિઓ નોંધો. ફક્ત ઉમેરાતો લોગ જૂની સત્રની લાઇન રાખી શકે છે, અને તેને વર્તમાન તરીકે ટાંકવી તે રીત છે જેમાં સુધારાયેલી સમસ્યા ચાલુ દેખાય છે.

નીતિ સમીક્ષા માટે કન્ફિગરેશનના માલિકને સંમત TLS આવૃત્તિ અને સ્યૂટ, પસંદ કરેલ ડેટા સાઇફર અને પ્રમાણપત્ર ચકાસણી સેટિંગ્સ એકસાથે આપો. તે સ્તર બદલો અને પછી નવા સંમત મૂલ્યોની પુષ્ટિ માટે તાજો લોગ વાંચો.