OpenVPN data-ciphers डेटा चैनल का सिफ़र कैसे चुनता है

टनल ऊपर आता है, लॉग एक सिफ़र दिखाता है, और प्रोफ़ाइल की समीक्षा आगे बढ़ती है। फिर एक साथी पर अपग्रेड आता है और वही प्रोफ़ाइल कोई साझा सिफ़र न होने के संदेश के साथ विफल हो जाती है, जो लोगों को हटाने वाली निर्देशिका खोजने भेजता है। समझने योग्य उपयोगी बात यह है कि data-ciphers एक बातचीत का वर्णन करता है, कोई सेटिंग नहीं। एक पक्ष सूची देता है, दूसरा उसमें से चुनता है, और परिणाम एक ही एल्गोरिदम होता है जिसे दोनों समर्थन देते हैं। उस आदान-प्रदान को पढ़ना एक पंक्ति बदलने से पहले इनमें से अधिकांश विफलताओं को समझाता है।

दो चैनल, दो कॉन्फ़िगरेशन

एक OpenVPN सत्र में एक नियंत्रण चैनल और एक डेटा चैनल होता है। नियंत्रण चैनल वह TLS हाथ मिलाना चलाता है जो साथियों को प्रमाणित करता है और कुंजियाँ तय करता है। डेटा चैनल उन पैकेटों को एन्क्रिप्ट करता है जो आपका ट्रैफ़िक ले जाते हैं।

data-ciphers दूसरे को कॉन्फ़िगर करता है। नियंत्रण चैनल के अपने विकल्प हैं, और प्रोफ़ाइल की पहचान जाँच तीसरी, अलग बात है। एक में बदलाव दूसरे को ठीक नहीं करता, इसलिए प्रोफ़ाइल सही दिख सकती है और फिर भी किसी विशेष चरण पर विफल हो सकती है।

कॉन्फ़िगरेशन फ़ाइल पढ़ते समय इन तीनों को अपने-अपने डिब्बों में रखें।

बातचीत लॉग से पढ़ें

कनेक्शन सफल होने पर क्लाइंट लॉग दोनों परिणाम बताता है। एक पंक्ति नियंत्रण चैनल और उसके TLS विवरण की रिपोर्ट करती है, और दूसरी चुने गए डेटा चैनल सिफ़र की।

दोनों पढ़ें, क्योंकि वे अलग-अलग प्रश्नों का उत्तर देते हैं। नियंत्रण चैनल की विफलता किसी भी डेटा सिफ़र के मायने रखने से पहले कनेक्शन रोक देती है। डेटा चैनल की असंगति सफल हाथ मिलाने के बाद दिखाई देती है, कोई साझा सिफ़र न होने के संदेश के साथ।

फिर दोनों ओर की दी गई सूचियों की तुलना करें। वह नाम जो एक साथी का संस्करण या उसका क्रिप्टो आधार प्रदान नहीं करता, चुना नहीं जा सकता, चाहे वह दूसरे साथी की सूची में कितनी भी जल्दी आए।

चयन वास्तव में कैसे होता है

सर्वर हाथ मिलाने के दौरान अपनी data-ciphers सूची क्लाइंट की ओर धकेलता है, और क्लाइंट उस सूची में पहला प्रविष्टि चुनता है जिसे वह भी समर्थन देता है। इसलिए क्रम सर्वर के कॉन्फ़िगरेशन का है, क्लाइंट का नहीं।

यह विवरण भ्रमित करने वाले परिणामों का एक वर्ग समझाता है। क्लाइंट की सूची को फिर से क्रमबद्ध करना तब तक कुछ नहीं बदलता जब तक सर्वर की सूची निर्णय करती है। ऐसा सिफ़र जोड़ना जिसे क्लाइंट प्रदान नहीं कर सकता, भी कुछ नहीं बदलता, क्योंकि क्लाइंट को चुना गया प्रविष्टि उपयोग करने में सक्षम होना चाहिए।

नए संस्करणों ने डिफ़ॉल्ट सूची बदली और उस विकल्प का नाम बदला जो पहले उसे रखता था, इसलिए अलग-अलग संस्करणों के दो साथी बिना किसी के प्रोफ़ाइल संपादित किए असहमत हो सकते हैं। टाइपिंग की गलती मानने से पहले हर ओर संस्करण जाँचें।

सूची अमूर्त अर्थ में शक्ति की रैंकिंग नहीं है। यह उम्मीदवारों का समूह है, और चुना गया सर्वर के क्रम में पहला पारस्परिक रूप से समर्थित प्रविष्टि है। इसलिए अलग दिखने वाली दो सूचियाँ एक ही सिफ़र पर सहमत हो सकती हैं। इसीलिए एक जैसी दिखने वाली दो सूचियाँ भी विफल हो सकती हैं।

पुराने साथियों को जानबूझकर बनाया गया फ़ॉलबैक चाहिए

वह साथी जो बिल्कुल बातचीत नहीं कर सकता, क्योंकि वह तंत्र से पुराना है या उसने उसे बंद कर दिया है, उसे प्रलेखित अनुकूलता व्यवस्था चाहिए। फ़ॉलबैक विकल्प ठीक उसी स्थिति के लिए है और उन साथियों पर लागू होता है जो बातचीत में भाग नहीं लेते।

यह हर पुराने सिफ़र को सक्षम करने के समान नहीं है ताकि संदेश गायब हो जाए। व्यापक सूची हर साथी के लिए सत्र कमज़ोर करती है, उन लोगों सहित जो कुछ मज़बूत तय करते।

असंबंधित एल्गोरिदम नाम संपादित करने के बजाय दोनों पक्षों को समन्वित करें। यदि सर्वर अपग्रेड ने पुराना विकल्प हटा दिया है, तो सुधार संस्करण योजना का हिस्सा है, क्लाइंट पर जल्दबाज़ी का नहीं।

सत्यापन को अक्षुण्ण रखें

डेटा चैनल की असंगति असत्यापित सर्वर स्वीकार करने का कारण नहीं है। प्रमाणपत्र सत्यापन, अपेक्षित सर्वर नाम और नियंत्रण चैनल की सुरक्षा सेटिंग्स सिफ़र चयन से अलग हैं और किसी भी अनुकूलता परिवर्तन से बचनी चाहिए।

तय किए गए डेटा सिफ़र, क्लाइंट संस्करण और सर्वर संस्करण को एक साथ दर्ज करें, ताकि अगली तुलना तथ्यों से शुरू हो, प्रोफ़ाइल फ़ाइल से नहीं।

समर्थित सुधार के बाद प्रारंभिक कनेक्शन और पुनः बातचीत का परीक्षण करें, क्योंकि एक बार स्थापित सत्र कुंजियों के नवीनीकरण पर अब भी विफल हो सकता है।

यदि टनल स्थापित हो जाए और साइटें फिर भी विफल हों, तो सिफ़र अब संदिग्ध नहीं है। रूटिंग और DNS के साथ आगे बढ़ें। कार्य क्रम: लॉग की दोनों पंक्तियाँ पढ़ें, दोनों सूचियों की तुलना करें, संस्करण जाँचें, फ़ॉलबैक केवल उस साथी के लिए जोड़ें जिसे उसकी ज़रूरत हो, फिर नवीनीकरण पथ का फिर से परीक्षण करें।