Kako OpenVPN data-ciphers bira šifru podatkovnog kanala

Tunel se podiže, zapis pokazuje šifru i pregled profila ide dalje. Zatim stigne nadogradnja na jednom partneru i isti profil pada uz poruku da nema zajedničke šifre, što ljude šalje u lov na direktivu koju treba obrisati. Korisno je razumjeti da data-ciphers opisuje pregovaranje, a ne postavku. Jedna strana nudi popis, druga bira iz njega, a rezultat je jedan algoritam koji obje podržavaju. Čitanje te razmjene objašnjava većinu ovih kvarova prije nego što promijenite i jedan redak.

Dva kanala, dvije konfiguracije

Jedna OpenVPN sesija ima kontrolni kanal i podatkovni kanal. Kontrolni kanal vodi TLS rukovanje koje provjerava identitet partnera i dogovara ključeve. Podatkovni kanal šifrira pakete koji nose vaš promet.

data-ciphers konfigurira drugi. Kontrolni kanal ima vlastite opcije, a provjere identiteta profila treća su, odvojena stvar. Promjena na jednome ne popravlja drugo, zbog čega profil može izgledati ispravno i ipak pasti u određenoj fazi.

Držite ta tri u odvojenim kutijama kad čitate konfiguracijsku datoteku.

Pročitajte pregovaranje iz zapisa

Klijentski zapis navodi oba rezultata kad veza uspije. Jedan redak izvješćuje o kontrolnom kanalu i njegovim TLS pojedinostima, a drugi o odabranoj šifri podatkovnog kanala.

Pročitajte oba, jer odgovaraju na različita pitanja. Neuspjeh kontrolnog kanala zaustavlja vezu prije nego što ijedna podatkovna šifra postane važna. Nesklad podatkovnog kanala pojavljuje se nakon uspješnog rukovanja, uz poruku da nema zajedničke šifre.

Zatim usporedite ponuđene popise na obje strane. Ime koje verzija jednog partnera ili njegov kriptografski sloj ne pruža ne može se odabrati, bez obzira na to koliko se rano pojavljuje na popisu drugog partnera.

Kako odabir zapravo funkcionira

Poslužitelj gura svoj data-ciphers popis klijentu tijekom rukovanja, a klijent odabire prvi unos na tom popisu koji i sam podržava. Redoslijed stoga pripada konfiguraciji poslužitelja, a ne klijenta.

Ta pojedinost objašnjava klasu zbunjujućih rezultata. Promjena redoslijeda klijentskog popisa ne mijenja ništa dok odlučuje poslužiteljev popis. Dodavanje šifre koju klijent ne može pružiti također ne mijenja ništa, jer klijent mora moći koristiti unos koji odabere.

Novija izdanja promijenila su zadani popis i preimenovala opciju koja ga je držala, pa se dva partnera na različitim verzijama mogu ne slagati bez da itko uređuje profil. Provjerite verziju na svakoj strani prije nego pretpostavite tipfeler.

Popis nije rangiranje snage u apstraktnom smislu. To je skup kandidata, a odabrani je prvi uzajamno podržani unos u poslužiteljevu redoslijedu. Zato dva popisa koja izgledaju različito mogu dogovoriti istu šifru. Zato i dva popisa koja izgledaju jednako mogu pasti.

Stariji partneri trebaju namjernu pričuvnu opciju

Partner koji uopće ne može pregovarati, jer je stariji od mehanizma ili ga je isključio, treba dokumentiran aranžman kompatibilnosti. Pričuvna opcija postoji upravo za taj slučaj i primjenjuje se na partnere koji ne sudjeluju u pregovaranju.

To nije isto kao omogućiti svaku naslijeđenu šifru da bi poruka nestala. Širok popis slabi sesiju za svakog partnera, uključujući one koji bi dogovorili nešto jako.

Uskladite dvije strane umjesto da uređujete nepovezana imena algoritama. Ako je nadogradnja poslužitelja uklonila staru opciju, popravak pripada planu verzija, a ne užurbanoj akciji na klijentu.

Sačuvajte provjeru netaknutom

Nesklad podatkovnog kanala nije razlog da prihvatite neprovjereni poslužitelj. Provjera certifikata, očekivano ime poslužitelja i postavke zaštite kontrolnog kanala odvojeni su od odabira šifre i trebali bi preživjeti svaku promjenu kompatibilnosti.

Zabilježite dogovorenu podatkovnu šifru, verziju klijenta i verziju poslužitelja zajedno, da sljedeća usporedba počne od činjenica, a ne od datoteke profila.

Nakon podržanog ispravka isprobajte početnu vezu i ponovno pregovaranje, jer sesija koja se jednom uspostavi ipak može pasti kad se ključevi obnove.

Ako se tunel uspostavi, a stranice i dalje ne rade, šifra više nije osumnjičena. Nastavite s usmjeravanjem i DNS-om. Redoslijed rada: pročitajte oba retka zapisa, usporedite oba popisa, provjerite verzije, dodajte pričuvnu opciju samo partneru koji je treba, pa ponovno testirajte put obnove.