Ինչու ավելի մեծ OpenVPN բանալին չի հեռացնում վերանորոգման ժամաչափը
Գաղտնագրման ուժը և բանալու կյանքը առանձին որոշումներ են։ Ստուգեք բայթի, փաթեթի և ժամանակի գործարկիչները, ապա փորձարկեք բանալու վերափոխումը իրական մուտքի հոսքում։
AES-256 կամ ավելի երկար բանալի ընտրելը ոչինչ չի ասում այն մասին, թե որքան ժամանակ կարելի է օգտագործել այդ բանալին։ Բանալու ուժը նկարագրում է ալգորիթմը՝ վերաբանալի քաղաքականությունն է որոշում, թե երբ է սեսիան ստանում նոր բանալի նյութ։ Տեղադրումը կարող է ընտրել ամենաուժեղ հասանելի գաղտնագիրը և միևնույնն է սխալվել թարմացման հարցում, քանի որ երկու որոշումներն ընդունվում են տարբեր տեղերում։ Դրանք խառնելը տալիս է կամ ավելորդ գաղտնագրափոխում, կամ սեսիա, որ լուռ ապրում է իր քաղաքականությունից ավելի երկար։
Կարդացեք վերաբանալու կարգավորումները նախքան գաղտնագրին դիպչելը, և այդ անելիս կարդացեք երկու կողմերը։
Բանալու ուժը և բանալու կյանքը տարբեր հարցերի են պատասխանում
Գաղտնագիրն ու բանալու չափը սահմանում են, թե որքան թանկ կարժենա որսված երթևեկության վրա հարձակումը։ Վերաբանալու միջակայքը սահմանում է, թե որքան երթևեկություն է պաշտպանում մեկ բանալին և որքան ժամանակ է բացահայտված բանալին օգտակար մնում։ Սրանք անկախ կարգավորիչներ են, և ավելի ուժեղ գաղտնագիրը չի երկարացնում սեսիայի անվտանգ կյանքը։ Շատ ուղեցույցներ, որ ասում են «օգտագործեք AES-256», լռում են թարմացման մասին, քանի որ թարմացումը քաղաքականության հարց է, ոչ ալգորիթմի ընտրություն։
Գրանցեք երկուսն էլ տեղադրման գրառումներում՝ ինչն է պաշտպանում տվյալների ալիքը, և ինչն է գործարկում դրա բանալիների փոխարինումը։
Վերաբանալն ունի երեք գործարկիչ, և ցանկացած կողմ կարող է դրանք միացնել
OpenVPN 2.6-ը փաստագրում է առանձին գործարկիչներ վերսկսվող բանակցության համար՝ հիմնված բայթերի, փաթեթների և անցած ժամանակի վրա։ Ժամանակի գործարկիչն այն է, որ տեղադրումների մեծ մասը թողնում է լռելյայն, ինչը նշանակում է, որ հանդարտ թունելը դեռ վերանորոգում է բանալին ըստ ժամանակացույցի։ Ցանկացած կողմ կարող է սկսել փոխանակումը, և այն կողմը, որը չի սկսել, հետևում է։ Ուստի ժամաչափի փոփոխությունը մի կողմում չի սահմանում սեսիայի վարքը․ գործող արժեքը այն կողմինն է, որը սկսում է առաջինը։
Բայթի և փաթեթի գործարկիչները կարևոր են մեծ թողունակության կամ փոքր փաթեթների ծանրաբեռնվածությունների համար, որտեղ միայն ժամանակի վրա հիմնված քաղաքականությունը թույլ կտար մեկ բանալու պաշտպանել շատ ավելի տվյալ, քան նախատեսված էր։ Եթե այդ հաշվիչները մնում են անջատված, ասեք դա դիտավորյալ գրառումներում, փոխանակ լռելյայնը չուսումնասիրված թողնելու։
Վերաբանալը բացահայտում է նույնականացման հոսքը
Վերսկսվող բանակցությունը նոր TLS ձեռքսեղմում է, ինչը նշանակում է, որ նույնականացման ուղին նորից անցնում է։ Մեկանգամյա կոդեր, ապարատային նշաններ կամ RADIUS մարտահրավեր օգտագործող տեղադրումները դա իմանում են դժվար ճանապարհով․ առաջին կապը աշխատում է, և սեսիան մահանում է մեկ ժամ անց, երբ երկրորդ ձեռքսեղմումը պահանջում է արդեն օգտագործված կոդ։ auth-gen-token գոյություն ունի այդ բացը լրացնելու համար՝ թույլ տալով սերվերին թողարկել կարճաժամկետ նշան վերսկսվող բանակցության համար՝ նոր ինտերակտիվ մուտք չպահանջելու փոխարեն։
Սա դիտարկեք որպես աշխատանքային հոսքի խնդիր, որ պետք է լուծվի օպերատորի հետ, ոչ որպես ապացույց, որ թարմացումը պետք է անջատվի։
Փորձարկեք թարմացումը ծանրաբեռնվածության տակ, ոչ մեկ րոպեի սեսիայում
Ընդունման փորձարկումը, որը միանում է, մեկ անգամ ping է անում և անջատվում, երբեք չի հասնում վերանորոգմանը։ Աշխատեցրեք բավական երկար սեսիա՝ սահմանված գործարկիչը հատելու համար, պահեք փոխանցումը ընթացքի մեջ ամբողջ ընթացքում, և հետևեք երկու կողմերի մատյաններին նոր ձեռքսեղմումը տեսնելու համար։ Այնուհետև փորձարկեք ձախողման ուղին․ ինչ է անում հաճախորդը, եթե վերսկսվող բանակցությունը չի կարող ավարտվել։ Մաքուր ընկնող թունելը ավելի հեշտ է ախտորոշել, քան այն, որը շարունակում է ուղարկել մեռած սեսիա։
Հաջող մեծ փոխանցումը մի կարդացեք որպես գաղտնագրման շեմի ապացույց։ Այն միայն ցույց է տալիս, որ ուղին և հաշվիչները դիմացել են այդքան երթևեկությանը։
Փաստագրեք երկու ընտրությունները
Գրառմանը երկու տող է պետք՝ ինչպես են պաշտպանվում փաթեթները, և երբ է այդ պաշտպանությունը փոխարինվում։ Ավելացրեք յուրաքանչյուր արժեքի լիազորությունը, քանի որ գաղտնագիրը կարող է գալ բաշխման լռելյայից, մինչդեռ ժամաչափը՝ ներքին քաղաքականությունից։ Ապագա օպերատորը չպետք է կարգաբերման ֆայլից եզրակացնի դրանցից ոչ մեկը։
Եթե համատեղելիությունը պարտադրում է բացառություն, սահմանափակեք այն տարբերակով և ավարտի ամսաթվով։ Բացառությունը, որ ապրում է իր պատճառից ավելի, դառնում է այն քաղաքականությունը, որ ոչ ոք չի հիշում, թե ինքն է ընտրել։