OpenVPN tls-ciphersuites da tls-version-min: abin da kowanne ke tilastawa

Abubuwa uku daban-daban suna haɗuwa cikin layi ɗaya a yawancin tattaunawar OpenVPN TLS: abin da ginin abokin ciniki naka zai iya yi, abin da bayanan martaba ya yarda da shi, da abin da zaman ya tattauna a zahiri. Ɗan gajeren jerin rukunin TLS 1.3 yana amsa tambayar tsakiya rabin rabi ne kawai, kuma ba ya faɗin komai game da ƙasan sigar yarjejeniya. Bi gwaje-gwajen da ke ƙasa bisa tsari kuma ka tsaya a farkon wanda bai tsaya ba, domin kowane gwaji na gaba yana ɗaukan an warware na baya.

Duba ginin kafin ka karanta kowane jeri

Umarnin daidaitawa ba zai iya ƙara tallafin yarjejeniya ga binary da ba shi da ita ba. Fara da banner ɗin siga, wanda ke ambaton ɗakin karatu na crypto da aka haɗa:

openvpn --version

Ginin 2.6 da aka haɗa da OpenSSL yana karɓar duka tls-cipher da tls-ciphersuites. Ginin da mbed TLS ba shi da zaɓin rukunin TLS 1.3 kwata-kwata, kuma littafin jagora na 2.6 yana nuna tls-ciphersuites a matsayin zaɓi na OpenSSL. Idan an sake gina uwar garken da wani backend, bayanan martaba ɗaya na iya canza halinsa ba tare da an canza layi ɗaya na daidaitawa ba.

Yayin da kake nan, gudanar da openvpn --show-tls kuma ka adana fitarwar. Ita ce lissafin da za ka kwatanta da shi daga baya, kuma yana da arha a kama shi kafin wani ya fara gyara bayanan martaba.

Rubuta banner ɗin da jerin cikin tikit ɗin canji, ba cikin taga hira ba. Lokacin da mutane biyu suka yi sabani kan ko abokin ciniki zai iya bayar da rukuni cikin makonni shida, fitarwar da aka kama tana warware hakan cikin layi ɗaya.

Ka raba iyakokin siga daga jerin cipher

A cikin littafin jagora na 2.6 waɗannan sarrafawa uku ne, ba ɗaya ba:

• tls-cipher yana saita manufar cipher don TLS 1.2 da baya, kuma ana mika shi ga jerin cipher na OpenSSL;
• tls-ciphersuites yana zaɓar rukunin TLS 1.3;
• tls-version-min da tls-version-max suna iyakance sigogin yarjejeniyar da haɗin zai iya amfani da su.

Don haka jerin rukunin TLS 1.3 da aka gyara a hankali ba ya tabbatar da komai game da ko an har yanzu an yarda da tsohuwar siga. Idan buƙatar ita ce «TLS 1.3 kawai», ƙasan sigar ce ke ɗauke da ita, kuma jerin rukunin yana taƙaita zaɓuɓɓuka ne kawai a cikin wannan ƙasa:

tls-version-min 1.3
tls-ciphersuites TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256

Wannan biyun yana yin ayyuka biyu. Share ɗaya daga cikin layukan yana barin ɗayan yana tilastawa ƙasa da yadda kake tsammani, kuma wannan shine ainihin gazawar da duk wannan gwajin ya wanzu don kamawa.

Tashar bayanai ita ce sarrafawa ta huɗu. data-ciphers yana tattauna cipher ɗin simmetric a cikin rami, kuma sakamakonsa ba ya faɗin komai game da sigar TLS ta tashar sarrafawa. Ganin AES-256-GCM a taƙaitaccen zaman ba hujja ba ce kan TLS 1.3 a kowace hanya.

Karanta show-tls a matsayin lissafin gida

--show-tls yana lissafa rukunin da ɗakin karatu na crypto da aka haɗa wannan binary da shi ke tallafawa, cikin tsarin fifiko. Ba rahoton ƙofa ba ne. Littafin jagora ya faɗa sarai cewa jerin yana fitowa daga ɗakin karatu na gida, wanda ke nufin kwamfutar tafi-da-gidanka mai OpenSSL 3.x da na'urar sadarwa mai tsohon gini za su buga jerin daban yayin da suke magana da uwar garken ɗaya.

A ce abokin ciniki yana tallafawa rukunin A, B da C kuma zaman ɗaya ya zaɓi B. Wannan ba ya tabbatar da komai game da ko uwar garken tana yarda da A ko C, ko kuma ko B shine kawai zaɓin da aka yarda da shi. Ka raba layukan uku, kuma yawancin zaren TLS masu ruɗani za su warware kansu.

Lissafin har yanzu ya cancanci a adana shi. Lokacin da zaman ya gaza, kwatanta jerin ɗakin karatu da jerin bayanan martaba yana gaya maka ko abokin ciniki yana da wata dama ta bayar da abin da uwar garken take so. Hakanan yana nuna ko canjin backend ya cire TLS_CHACHA20_POLY1305_SHA256 a hankali daga tarin da tsofaffin abokan ciniki suka dogara da shi — irin koma-bayan da ke bayyana a matsayin ƴan masu amfani da suka kasa haɗawa yayin da kowa ba ya lura da komai.

Tambayi ƙofar wani abu da za ta iya amsawa

Idan kana sarrafa sabis ɗin, duba ingantaccen daidaitawar misalin da ke gudana maimakon fayil a faifai. Wataƙila an fara OpenVPN da wata hanyar --config, yana iya ɗebo abubuwan da aka haɗa, kuma ba a sake kunna shi ba tun gyaran. Manufar daemon ɗin da ke gudana ita ce abin da abokan ciniki ke fuskanta.

Idan ba kai ne kake sarrafa shi ba, tambayi mai gudanarwa buƙatun abokin ciniki da aka tallafa ko gwajin karɓa mai iyaka. Ƙoƙarin da aka ƙi ba ya nufin an ƙi rukunin kai tsaye: ƙasan siga, gwajin shaidar takardar shaida kamar remote-cert-tls, ko rashin daidaituwa tsakanin tls-auth da tls-crypt na iya kawo ƙarshen musayar kafin zaɓin rukuni ya zama mai muhimmanci. Karanta kuskuren uwar garken kafin ka canza jerin abokin ciniki, domin «handshake failed» yana rufe dalilai huɗu daban-daban kuma ɗaya ne kawai daga cikinsu rashin daidaituwar cipher.

Nuni openssl s_client zuwa tashar VPN shima ba ya sake haifar da tambayar. Tashar sarrafawa tana gudana cikin firam ɗin OpenVPN kanta, don haka binciken TLS ɗanyen yana gwada wata yarjejeniya a tashar da ke tsammanin wani abu dabam. Duk wata shawara da aka samu daga gare shi game da binciken ne, ba game da ramin ba.

Yi rikodin sakamako biyu kuma ka raba su

Sabon zaman da aka yarda yana samar da layin tashar sarrafawa wanda ke ambaton sigar yarjejeniya da cipher ɗin da aka zaɓa, da kuma wani layi na daban na tashar bayanai wanda ke ambaton cipher ɗin rami. Kama duka biyu tare da sigar abokin ciniki da sunan bayanan martaba, kuma ka lura wane misalin uwar garken ya amsa:

openvpn --config office.ovpn --verb 4 2>&1 | tee session.txt

Sannan karanta layukan biyu daga wannan fayil maimakon daga ƙwaƙwalwa. Biyun shine hujja; sunan rukuni shi kaɗai fifiko ne, kuma iyakar siga wata magana ce ta daban game da abin da uwar garken ta ƙi.

Gudanar da gwaje-gwajen cikin wannan tsari. Tabbatar da gini da backend da --version. Kama --show-tls kafin ka canza komai. Faɗi ƙasan sigar da ake buƙata daban daga jerin rukunin. Tabbatar da ingantacciyar manufar misalin da ke gudana tare da mai shi. Kalli zaman da aka yarda ɗaya kuma, idan shirin ya yarda, ƙoƙarin da aka ƙi na tsohuwar siga ɗaya. Yi rikodin sakamakon tashar sarrafawa da tashar bayanai a matsayin bincike daban.

Idan abokin ciniki da ake buƙata ba zai iya cika sabon mafi ƙaranci ba, yi wannan shawarar ƙaura ko keɓe a bayyane maimakon rage wata ƙa'idar karɓa marar alaƙa a hankali don a nuna an gama turawa.