OpenVPN-pakett: sikertelen HMAC-hitelesítés – melyik réteg?

Két hiba ugyanazzal a szókinccsel jelenik meg és szinte semmi közös nincs bennük. Az egyik egy csomag, amelynek hitelesítési címkéje nem igazolódott; a másik egy személy, akinek a hitelesítő adatait elutasították. Ha az elsőt a másodikként kezeli, olyan jelszót keres, amely soha nem volt a probléma.

Az üzenet megnevez egy réteget, és a hasznos munka eldönteni, melyiket, mielőtt bármilyen anyagot kicserélne. A jelöltek egymás melletti összehasonlítása a leggyorsabb módja a különbség meglátásának.

Két hiba, amely egy szót oszt meg

Csomag-hitelesítési hiba a forgalom feldolgozása közben keletkezik: egy kapott csomagon lévő címke vagy lenyomat nem egyezett azzal, amit a fogadó kiszámított. A fiók elutasítása a bejelentkezési csere feldolgozása után történik, és felhasználót nevez meg, nem csomagot. Egy harmadik üzenet, arról, hogy nem található HMAC egy bejövő csomagban, megint más, mert ott a csomag teljesen a várt hitelesítési elem nélkül érkezett. A teljes naplóelőtag megmondja, melyik van Önnél a háromból, és az előtag általában az első dolog, amit eltávolítanak, amikor egy hibát beillesztenek egy jegybe.

A megkülönböztetés megváltoztatja a javítást. Az egyik egyező csatornabeállításokat kíván, a másik fiókállapotot, a harmadik pedig olyan profilt, amely nem illik ahhoz a figyelőhöz, amelyet elért.

Hasonlítsa össze, mit töltött be valójában a futó folyamat

Egy helyes fájl a lemezen semmit nem bizonyít egy olyan folyamatról, amely a szerkesztése előtt indult. Ellenőrizze a kiválasztott profilt, a felvett végpontot, és hogy a szolgáltatás újratöltődött-e a változás óta. Azt is erősítse meg, hogy a végpont a profilhoz tartozik, mert egy másik példány vagy másik szolgáltatás figyelhet ott, ahol a régi fájl mást vár.

Egy támogatott profil újrakiszállítása ugyanabból a forrásból olcsó összehasonlítás, mert eltünteti az eltérést aközött, amit konfiguráltnak gondol, és aközött, amit az ügyfél valóban küld. Új kulcsanyag előállítása sokkal nagyobb lépés, és csak akkor segít, ha mindkét fél együtt fogadja el. Az egyik oldal helyi cseréje újra létrehozza azt az eltérést, amelyet megpróbált megszüntetni.

Hasonlítsa össze a vezérlőcsatornát az adatcsatornával

Két mechanizmus hitelesíti a kapcsolat különböző részeit, és külön konfigurálódik, ahogyan a 2.6-os beállítási referencia leírja. tls-auth HMAC-ot ad a vezérlőcsatorna csomagjaihoz, és egy irányargumentumot vesz át, amelynek a két partneren ellentétesnek kell lennie, miközben tls-crypt a vezérlőcsatornát megosztott kulccsal védi helyette. Egyik sem az adatcsatorna saját integritásellenőrzése. AEAD adatrejtjelezésnél ez az ellenőrzés a rejtjelezésbe épül, ezért a külön auth lenyomatot nem úgy használják, mint egy nem AEAD rejtjelezésnél.

Ami azt jelenti, hogy egy működő nem AEAD telepítésből másolt auth sor irreleváns lehet egy AEAD telepítésben, és egy AEAD telepítés továbbra is meghiúsulhat a vezérlőcsatornán, ha a tls-auth kulcs vagy annak iránya hibás. Hasonlítsa össze minden beállítást a partnerrel, ne egy emlékezetből idézett konfigurációval.

Hasonlítsa össze a javítást azzal a tulajdonsággal, amelyről lemond

A csomag-hitelesítés kikapcsolása elnémítja a figyelmeztetést, és eltávolítja azt az ellenőrzést, amely megtalálta az eltérést, ami nem ugyanaz, mint megjavítani a profilt. Kérdezze meg, milyen tulajdonságról mond le, és hogy a terv nélküle is megáll-e.

Változtatás előtt olvassa el az első releváns eseményt mindkét oldalon, majd csak az általa megnevezett eltérést változtassa meg.

Ha a következő próbálkozás tanúsítvány- vagy bejelentkezési hibáig jut, az előrelépés és nem visszaesés: a csomagréteg most már egyetért, és a kapcsolat továbbjutott. Jegyezze fel a változást előidéző beállításokat, hogy a következő ember magyarázatot örököljön rejtély helyett.