OpenVPN TLS સાઇફર ભૂલ: પહેલાં બંને પક્ષોની સરખામણી કરો

«કોઈ સામાન્ય સાઇફર નથી» ભૂલ એક જ સેટિંગ બદલવાની જેમ સંભળાય છે, અને મોટા ભાગના લોકો જે સેટિંગ બદલે છે તે ખોટું છે. OpenVPN TLS હેન્ડશેક કરતી નિયંત્રણ ચેનલ માટે અને ટનલની અંદર પેકેટ લઈ જતી ડેટા ચેનલ માટે અલગ નીતિઓ રાખે છે, અને ભૂલ પહેલીનું નામ લે છે જ્યારે લોકો બીજી સંપાદિત કરે છે. દરેક પક્ષ કઈ મંજૂરી આપે છે તેની યોગ્ય ક્રમમાં સરખામણી અનુમાનને બે કે ત્રણ નિર્ણયોમાં ફેરવે છે: આવૃત્તિ, પછી સ્યૂટ યાદી, પછી ઓળખપત્રો.

આ ક્રમ ખોટો કરો તો કદી જોવામાં ન આવેલી યાદીમાં AES નામ ઉમેરવામાં એક કલાક ગુમાવી શકો છો.

બે સાઇફર યાદીઓ, અને માત્ર એક જ હેન્ડશેક તોડે છે

નિયંત્રણ ચેનલ TLS સત્ર પર વાટાઘાટ કરે છે, અને તેની નીતિ આનાથી લખાય છે: tls-cipher TLS 1.2 માટે અને tls-ciphersuites TLS 1.3 માટે. ડેટા ચેનલ અલગથી આનાથી ગોઠવાય છે: data-ciphers, જ્યાં અસંગતિ એવું જોડાણ બનાવે છે જે સ્થપાય છે અને પછી ટ્રાફિક પસાર કરી શકતું નથી. બંને સાઇફરનો ઉલ્લેખ કરતી ભૂલો આપે છે, તેથી તેમને ભેળવી દેવાય છે. જે હેન્ડશેક કદી પૂર્ણ થતું નથી તે નિયંત્રણ ચેનલ તરફ ઇશારો કરે છે, જ્યારે પેકેટ ગુમાવતી સ્થપાયેલી ટનલ ડેટા ચેનલ તરફ.

પહેલી લાઇનને બદલે આખો સંદેશ વાંચો. આવૃત્તિ અસંગતિ, ગુમ થયેલી સ્યૂટ, પક્ષ જે સર્ટિફિકેટ સહી અલ્ગોરિધમ નકારે છે, અને હોસ્ટનામ ચકાસણીની નિષ્ફળતા—બધા TLS ભૂલમાં પૂરા થાય છે, અને તેમાંથી માત્ર એક તમારી સ્યૂટ યાદી વિશે છે. આ શ્રેણીઓને અલગ રાખવી એ નિદાનનો મોટો ભાગ છે.

સ્યૂટની સરખામણી પહેલાં આવૃત્તિઓની સરખામણી કરો

TLS 1.2 સુધી મર્યાદિત પક્ષ અને 1.3 જરૂરી ગણતો પક્ષ કોઈ આવૃત્તિ વહેંચતા નથી, અને કોઈ સાઇફર શબ્દમાળા તેને જોડતી નથી. બંને બાજુ tls-version-min અને tls-version-max નોંધો, અથવા વપરાતા બિલ્ડના ડિફોલ્ટ, કારણ કે ડિસ્ટ્રિબ્યુશનની OpenSSL નીતિ કોઈ OpenVPN વિકલ્પ કહ્યા વિના ન્યૂનતમ વધારી શકે છે. જો એક બાજુ ઉપકરણ કે તૃતીય-પક્ષ ક્લાયંટ હોય, તો તેની વિન્ડો તેની ફર્મવેર જે મંજૂરી આપે તે છે. વિન્ડો ઓવરલેપ થાય પછી જ સ્યૂટ સરખામણીનો અર્થ રહે છે.

તે રેકોર્ડમાં વાસ્તવિક બાઇનરીનાં નામ પણ હોવાં જોઈએ. કમાન્ડલાઇન openvpn તમારા લેપટોપ પર આયાત કરેલી પ્રોફાઇલ સંભાળતો ક્લાયંટ હોવો જરૂરી નથી.

TLS 1.2 અને TLS 1.3 યાદીઓ ભળતી નથી

TLS 1.2 સ્યૂટનાં નામ આના જેવાં છે: ECDHE-RSA-AES256-GCM-SHA384 અને તે tls-cipher માં જાય છે, જે OpenSSL સાઇફર શબ્દમાળા સ્વીકારે છે. TLS 1.3 સ્યૂટનાં નામ આના જેવાં છે: TLS_AES_256_GCM_SHA384 અને તે tls-ciphersuites માં જાય છે; 1.2 શબ્દમાળામાં એક ઉમેરવાથી 1.3 યાદી ગોઠવાતી નથી, અને પાર્સર લખાણને કદી મેળવ્યા વિના સ્વીકારી શકે છે. એક આવૃત્તિ માટે સાચું ફિલ્ટર બીજા વિશે કંઈ કહેતું નથી. દરેક યાદી કઈ આવૃત્તિ માટે છે તે લખી રાખો.

openvpn --show-tls સ્થાનિક બિલ્ડ શું ટેકો આપે છે તે છાપે છે, અને તે યાદી છે, વચન નહીં: દૂરનો પક્ષ તે સ્યૂટની મંજૂરી ન પણ આપે, અને સક્રિય પ્રોફાઇલ તેમને સક્ષમ ન પણ કરે. તેનો ઉપયોગ એવા બિલ્ડને બાકાત રાખવા કરો જે કોઈ સ્યૂટ આપી જ ન શકે, પછી ગોઠવેલી યાદીઓની સરખામણી કરો.

નવા જોડાણ પર વાટાઘાટ સાબિત કરો

સફળ હેન્ડશેક એ જ એકમાત્ર પુરાવો છે જે ગણાય છે, અને તે સાચા ક્લાયંટમાંથી સાચી પ્રોફાઇલ સાથે આવવો જોઈએ. સર્વરની વિગતવારતા વધારો, એક વાર જોડાઓ અને લોગમાંથી વાટાઘાટ થયેલી પ્રોટોકોલ આવૃત્તિ અને સ્યૂટ વાંચો, પહેલું ઓફર કરેલું મૂલ્ય જીત્યું છે એમ ધારવાને બદલે. પછી ટનલમાંથી ટ્રાફિક સાથે ડેટા ચેનલ અલગથી ખાતરી કરો, કારણ કે કામ કરતું હેન્ડશેક અને નિષ્ફળ ડેટા ચેનલ ભિન્ન સુધારા છે. કોઈપણ ગોઠવણી ફેરફાર પછી પુનરાવર્તન કરો, કારણ કે જૂની ક્લાયંટ પ્રોફાઇલ સામાન્ય ખોટું નકારાત્મક પરિણામ છે.

જો કોઈ મંજૂર સામાન્ય ગોઠવણી ન હોય, તો જવાબ અપગ્રેડ કે સ્થળાંતર યોજના છે, નબળી કરેલી નીતિ નહીં. tls-version-min ઘટાડવું, ચકાસણી બંધ કરવી કે બધી જૂની સ્યૂટ સક્ષમ કરવી તેને જન્મ આપનાર સુરક્ષા જરૂરિયાત પૂરી કર્યા વિના નકાર દૂર કરે છે.

વાટાઘાટ થયેલી આવૃત્તિ, સ્યૂટ અને ડેટા સાઇફર ફેરફાર ટિકિટમાં નોંધો. TLS ભૂલનો સામનો કરનાર આગલી વ્યક્તિ ફોરમ પોસ્ટમાં મળેલી સાઇફર શબ્દમાળાથી નહીં, તે રેકોર્ડથી શરૂ કરશે.