Fayil DH ko maɓallin tls-auth? Bambance fayiloli biyu na OpenVPN

Fayiloli biyu, umarni biyu, da al'adar sanya wa duka biyu sunan abin da suke daidaitawa. Haka dh.pem ke ƙarewa a layin tls-auth kuma abokin ciniki ya kasa da saƙo game da tsarin maɓalli da ba a zata ba. Shawarar da ke gabanka ba wace fayil ce ta fi ƙarfi ba ce. Ita ce wace rawa aikin ke buƙata da gaske, kuma sharuɗɗa uku ne ke warware ta: wane musayar maɓalli TLS ɗinka zai yi shawara akai, ko kana son tabbatar da tashar sarrafawa kwata-kwata, da ko kayan dole su kasance a asirce.

Amsa waɗannan bisa tsari kuma tambayar fayil ɗin za ta amsa kanta. Ka tsallake su sai sunayen umarnin su fara kama da masu musanya, wanda shi ne ainihin yanayin da kuskuren ke fitowa daga gare shi.

Karanta alamar kafin sunan fayil

Layin farko na fayil ɗin ya fi sunansa bayani, domin suna al'ada ce ta mutum yayin da kayan aiki ke samar da alamar. Sigogin Diffie-Hellman suna ɗauke da alamar PEM BEGIN DH PARAMETERS. Maɓallin tsayayye na OpenVPN wani tsari ne daban, da kan nasa da kayan hex.

Sake suna ba ya canza komai. Fayil ɗin siga mai suna ta.key har yanzu siga ne, kuma maɓallin tsayayye mai suna dh.pem har yanzu maɓallin tsayayye ne; mai bincike yana karanta abin da ke ciki kuma ya ƙi rashin daidaito. Duba kafin ka gyara bayanin martaba:

head -n 1 dh.pem
head -n 1 ta.key

Sharuɗɗa uku da ke tantance wane fayil kake buƙata

Sharadi na farko shi ne musayar. Musafaha Diffie-Hellman na fili mai iyaka yana buƙatar rukuni, kuma umarnin dh shi ne inda uwar garke ke ambaton sigogin don shi. Musafahar da ke kan layin lanƙwasa ba ta buƙatar wannan fayil kwata-kwata, domin lanƙwasar ita ce saitin siga. Idan uwar garkenka tana yin shawara kan jerin ECDHE kawai, fayil ɗin DH nauyi ne matattu maimakon ƙarin ƙarfi.

Sharadi na biyu shi ne tabbatar da tashar sarrafawa, wata fasali dabam da kayan nata. Fayil ɗin tls-auth maɓallin tsayayye ne da aka raba wanda ɓangarorin biyu suke riƙe, ana amfani da shi wajen sa hannu a fakitin tashar sarrafawa domin ɓangaren da ba a tabbatar ba ya kasa kammala musafaha ma. Yana wanzu ko kana amfani da DH na fili mai iyaka ko a'a, kuma ba shi da alaƙa da sigogin rukuni.

Sharadi na uku shi ne sirri da rarrabawa. Ana iya wallafa sigogin DH ba tare da raunana zaman ba, domin ana ƙirƙirar ƙimar sirri ga kowace musafaha kuma ba sa barin ɓangarorin. Ba a wallafa maɓallin tsayayye ba: bayt ɗaya ne a ƙarshen biyu, ba ya juyawa da kansa, kuma duk wanda ya riƙe shi zai iya samar da ingantattun sa hannu na tashar sarrafawa. Waɗannan amsoshi biyu suna nuni ga ƙa'idojin kulawa da suka bambanta sarai, shi ya sa fayil ɗaya zai iya zama a ma'ajiya ɗaya kuma ɗayan ba zai iya ba.

Ƙirƙiri kayan da suka dace ga kowace rawa

Yi amfani da kayan aikin da ke samar da tsarin da umarnin ke tsammani maimakon canza tsakanin su. Ga maɓallin da aka raba a OpenVPN 2.6, nau'in da aka buga na mai ƙirƙira yana bayyana manufar sarai.

openvpn --genkey tls-auth ta.key

Wannan umarnin yana ƙirƙirar sabon kayan sirri; ba ya gyara ko duba maɓalli da ke akwai, kuma sake gudanar da shi yana ba ka wani maɓalli daban wanda sauran ɓangarorin ba su da shi. Kwafi fayil ɗin da aka samu zuwa ga ɓangarorin da suke buƙatarsa ta hanyar da za ka yi amfani da ita ga kowane sirri da aka raba, kuma ka riƙe al'adar alkibla a daidaitacce: da tls-auth ɓangare ɗaya yana amfani da key-direction 0 ɗayan kuma key-direction 1.

Sigogin DH, lokacin da kake buƙatarsu, suna fitowa daga ƙirƙirar siga ba daga mai ƙirƙirar maɓalli ba, kuma asalinsu yana da muhimmanci ko da kuwa sakamakon a bayyane yake. Rukunin da aka samo daga tushen da ba a sani ba ba ya zama abin dogaro saboda a bayyane yake; har yanzu dole ya zama rukunin da ɓangarorinka suka yarda da shi kuma wanda girmansa ko gininsa ba ya raunana shi.

Abin da dh none ke yi da abin da ba ya yi

dh none umarni ne na gaske mai ƙunci ma'ana: ba za a loda wani fayil ɗin siga na fili mai iyaka ba, domin musafahar tana amfani da Diffie-Hellman na layin lanƙwasa. Ba ta zama gajeriyar hanya ga “tsallake matakin DH” a ma'anar raunana wani abu ba, kuma tabbas ba ta gaya wa OpenVPN ya karɓi wani fayil a matsayin maye gurbi ba.

Kuskure biyu ne ke biyo bayan karanta shi da kuskure. Na farko shi ne tsammanin dh none yana kawar da buƙatar tls-auth, alhali su biyu suna sarrafa abubuwa dabam. Na biyu shi ne riƙe tsohon layin dh kusa da tsarin lanƙwasa kawai sannan ka yi mamakin wane fayil uwar garken take amfani da shi da gaske; idan umarnin yana nan, ana karanta fayil ɗin, kuma hanyar da ta lalace a can tana sa farawa ta kasa saboda dalilin da ba shi da alaƙa da musayar da za a yi shawara akai.

Idan an riga an tura fayil ɗin da ba daidai ba

Maido da sirrin da aka nufa daga mai bayanin martaba kuma ka bar tabbatar da takardar shaida kawai yayin da kake yin hakan. Gazawar rashin daidaiton tsari ce, ba gazawar amana ba, kuma kashe tabbaci don tsallake kuskuren yana maye gurbin matsalar farawa da wadda ba ta magana.

Sannan ka raba al'amuran biyu da mutane sukan haɗa. Wallafa fayil ɗin siga na DH kusan ba shi da lahani, domin sigogin a bayyane suke tun daga ƙira. Bayyana maɓallin tls-auth wani lamari ne daban: maɓallin yana tabbatar da fakitin tashar sarrafawa ga kowane ɓangare da ya riƙe shi, don haka dole a daidaita maye gurbinsa a duk aikin ba a yi shi a kan wata na'ura ɗaya ba.

Duba na minti biyar yana warware wace harka kake ciki: karanta layin farko na kowane fayil, tabbatar da umarnin da ke ambatonsa, kuma tabbatar da cewa rarrabawar fayil ɗin ta dace da abin da kayan ke buƙata. Wannan ƙaramin aiki ne fiye da sake ƙirƙirar PKI mai aiki, kuma shi ne abin da sharuɗɗan uku suke nuni gare shi duk tsawon lokaci.