Hogyan választja az OpenVPN data-ciphers az adatcsatorna titkosítását

Az alagút felépül, a napló mutat egy titkosítást, és a profil áttekintése továbbhalad. Aztán egy frissítés érkezik az egyik partnerhez, és ugyanaz a profil meghiúsul egy üzenettel arról, hogy nincs közös titkosítás, ami arra küldi az embereket, hogy törlendő direktívát keressenek. A hasznos megértés az, hogy a data-ciphers tárgyalást ír le, nem beállítást. Az egyik fél listát kínál, a másik abból választ, és az eredmény egyetlen algoritmus, amelyet mindkettő támogat. Ennek a cserének az elolvasása megmagyarázza ezeknek a hibáknak a többségét, mielőtt bármelyik sort módosítaná.

Két csatorna, két konfiguráció

Egy OpenVPN munkamenetnek vezérlőcsatornája és adatcsatornája van. A vezérlőcsatorna futtatja a TLS kézfogást, amely hitelesíti a partnereket és kulcsokat tárgyal. Az adatcsatorna titkosítja a forgalmát szállító csomagokat.

A data-ciphers a másodikat konfigurálja. A vezérlőcsatornának saját beállításai vannak, és a profil identitásellenőrzései egy harmadik, külön kérdés. Az egyik módosítása nem javítja a másikat, ezért egy profil helyesnek tűnhet, és mégis meghiúsulhat egy adott szakaszban.

Tartsa a hármat külön dobozokban, amikor konfigurációs fájlt olvas.

Olvassa ki a tárgyalást a naplóból

A kliens naplója mindkét eredményt megnevezi, amikor a kapcsolat létrejön. Az egyik sor a vezérlőcsatornáról és annak TLS részleteiről számol be, a másik a kiválasztott adatcsatorna-titkosításról.

Olvassa el mindkettőt, mert különböző kérdésekre válaszolnak. A vezérlőcsatorna hibája leállítja a kapcsolatot, mielőtt bármilyen adattitkosítás számítana. Az adatcsatorna eltérése sikeres kézfogás után jelenik meg, egy üzenettel arról, hogy nincs közös titkosítás.

Ezután hasonlítsa össze a felkínált listákat mindkét oldalon. Egy név, amelyet az egyik partner verziója vagy kripto háttere nem biztosít, nem választható ki, akármilyen korán jelenik is meg a másik partner listáján.

Hogyan történik valójában a kiválasztás

A kiszolgáló a kézfogás alatt a klienshez tolja a data-ciphers listáját, és a kliens kiválasztja a lista első olyan bejegyzését, amelyet ő is támogat. A sorrend tehát a kiszolgáló konfigurációjához tartozik, nem a klienséhez.

Ez a részlet zavaró eredmények egy osztályát magyarázza. A kliens listájának átrendezése semmit sem változtat, amíg a kiszolgáló listája dönt. Egy olyan titkosítás hozzáadása sem változtat semmit, amelyet a kliens nem tud biztosítani, mert a kliensnek képesnek kell lennie a kiválasztott bejegyzés használatára.

Az újabb kiadások megváltoztatták az alapértelmezett listát, és átnevezték a beállítást, amely korábban tartalmazta, így két különböző verziójú partner nézeteltérésbe kerülhet anélkül, hogy bárki szerkesztene egy profilt. A gépelési hiba feltételezése előtt ellenőrizze a verziót mindkét oldalon.

A lista nem erősorrend absztrakt értelemben. Jelöltek halmaza, és a kiválasztott az első kölcsönösen támogatott bejegyzés a kiszolgáló sorrendjében. Ezért tud két különbözőnek látszó lista ugyanabban a titkosításban megállapodni. Ezért tud két azonosnak látszó lista is meghiúsulni.

A régebbi partnereknek szándékos tartalékra van szükségük

Egy partner, amely egyáltalán nem tud tárgyalni, mert régebbi a mechanizmusnál, vagy kikapcsolta azt, dokumentált kompatibilitási megoldást igényel. A tartalék beállítás pontosan erre az esetre létezik, és azokra a partnerekre vonatkozik, amelyek nem vesznek részt a tárgyalásban.

Ez nem ugyanaz, mint minden örökölt titkosítás engedélyezése, hogy egy üzenet eltűnjön. Egy széles lista minden partner számára gyengíti a munkamenetet, azok számára is, amelyek valami erőset tárgyaltak volna.

Hangolja össze a két oldalt, ahelyett hogy nem kapcsolódó algoritmusneveket szerkeszt. Ha egy kiszolgálófrissítés eltávolított egy régi beállítást, a javítás a verziótervbe tartozik, nem a kliensnél való kapkodásba.

Tartsa érintetlenül az ellenőrzést

Az adatcsatorna eltérése nem ok arra, hogy elfogadjon egy nem ellenőrzött kiszolgálót. A tanúsítvány ellenőrzése, az elvárt kiszolgálónév és a vezérlőcsatorna védelmi beállításai elkülönülnek a titkosítás kiválasztásától, és minden kompatibilitási változást túl kell élniük.

Rögzítse együtt a tárgyalt adattitkosítást, a kliens verzióját és a kiszolgáló verzióját, hogy a következő összehasonlítás tényekből induljon ki, ne a profilfájlból.

Egy támogatott javítás után tesztelje a kezdeti kapcsolatot és az újratárgyalást, mert egy egyszer létrejövő munkamenet a kulcsok megújításakor még meghiúsulhat.

Ha az alagút létrejön, és a webhelyek még mindig meghiúsulnak, a titkosítás már nem gyanús. Folytassa az útválasztással és a DNS-sel. A munka sorrendje: olvassa el mindkét naplósort, hasonlítsa össze mindkét listát, ellenőrizze a verziókat, csak a tartalékra szoruló partnernek adjon hozzá tartalékot, majd tesztelje újra a megújítási útvonalat.