OpenVPN TLS ծածկագրի սխալ. նախ համեմատեք երկու կողմերին

«Ընդհանուր ծածկագիր չկա» սխալը հնչում է որպես մեկ կարգավորում, որը պետք է փոխել, և այն կարգավորումը, որը փոխում են մարդկանց մեծ մասը, սխալն է։ OpenVPN առանձին քաղաքականություններ է պահում TLS ձեռքսեղմումը կատարող կառավարման ալիքի և թունելի ներսում փաթեթներ տեղափոխող տվյալների ալիքի համար, և սխալը նշում է առաջինը, մինչ մարդիկ խմբագրում են երկրորդը։ Այն համեմատելը, թե ինչ է թույլատրում յուրաքանչյուր կողմը, ճիշտ հերթականությամբ, գուշակությունը դարձնում է երկու կամ երեք որոշում՝ տարբերակ, ապա փաթեթների ցանկ, ապա մուտքի տվյալներ։

Եթե այդ հերթականությունը սխալ լինի, կարող եք մեկ ժամ կորցնել՝ AES անուն ավելացնելով ցանկին, որը երբեք չի դիտվել։

Երկու ծածկագրի ցանկ, և միայն մեկն է կոտրում ձեռքսեղմումը

Կառավարման ալիքը բանակցում է TLS նստաշրջան, և դրա քաղաքականությունը գրվում է tls-cipher TLS 1.2-ի համար և tls-ciphersuites TLS 1.3-ի համար։ Տվյալների ալիքը առանձին կարգավորվում է data-ciphers-ով, որտեղ անհամապատասխանությունը ստեղծում է կապ, որը հաստատվում է, ապա չի կարողանում անցկացնել երթևեկություն։ Երկուսն էլ տալիս են սխալներ, որոնք հիշատակում են ծածկագրեր, և դրա համար են դրանք շփոթում։ Այն ձեռքսեղմումը, որը երբեք չի ավարտվում, մատնանշում է կառավարման ալիքը, իսկ հաստատված թունելը, որը կորցնում է փաթեթներ, մատնանշում է տվյալների ալիքը։

Կարդացեք ամբողջ հաղորդագրությունը, ոչ թե առաջին տողը։ Տարբերակների անհամապատասխանությունը, բացակայող փաթեթը, վկայագրի ստորագրության ալգորիթմը, որը կողմը մերժում է, և հոսթի անվան ստուգման ձախողումը բոլորը վերջանում են TLS սխալով, և դրանցից միայն մեկն է ձեր փաթեթների ցանկի մասին։ Այդ կատեգորիաներն իրարից անջատելը ախտորոշման մեծ մասն է։

Համեմատեք տարբերակները, նախքան փաթեթները համեմատելը

TLS 1.2-ով սահմանափակված կողմը և 1.3 պահանջող կողմը չունեն ընդհանուր տարբերակ, և ոչ մի ծածկագրի տող դա չի կամրջում։ Գրի առեք tls-version-min և tls-version-max-ը երկու կողմերում, կամ օգտագործվող կառուցումների լռելյայն արժեքները, քանի որ տարածման OpenSSL քաղաքականությունը կարող է բարձրացնել նվազագույնը՝ առանց OpenVPN-ի որևէ ընտրանքի դա ասելու։ Եթե մի կողմը սարք է կամ երրորդ կողմի հաճախորդ, նրա պատուհանը այն է, ինչ թույլատրում է նրա որոնվածը։ Միայն այն ժամանակ, երբ պատուհանները համընկնում են, փաթեթների համեմատությունն իմաստ ունի։

Այդ գրառումները պետք է նաև նշեն իրական բինար ֆայլերը։ openvpn հրամանի տողից ձեր նոթբուքում պարտադիր չէ, որ այն հաճախորդը լինի, որը զբաղվում է ներմուծված պրոֆիլով։

TLS 1.2-ի և TLS 1.3-ի ցանկերը չեն խառնվում

TLS 1.2-ի փաթեթների անունները նման են ECDHE-RSA-AES256-GCM-SHA384-ի և պատկանում են tls-cipher-ին, որը OpenSSL-ի ծածկագրի տող է ընդունում։ TLS 1.3-ի փաթեթները կոչվում են TLS_AES_256_GCM_SHA384 և պատկանում են tls-ciphersuites-ին, իսկ 1.2 տողին մեկն ավելացնելը չի կարգավորում 1.3 ցանկը, և վերլուծիչը կարող է ընդունել տեքստը՝ երբեք չհամապատասխանելով դրան։ Մի տարբերակի համար ճիշտ զտիչը ոչինչ չի ասում մյուսի մասին։ Գրեք, թե որ ցանկն է որ տարբերակի համար։

openvpn --show-tls տպում է, թե ինչ է աջակցում լոկալ կառուցումը, և դա գույքագրում է, ոչ թե խոստում. հեռավոր կողմը կարող է չթույլատրել այդ փաթեթները, և ակտիվ պրոֆիլը կարող է չմիացնել դրանք։ Օգտագործեք այն՝ բացառելու կառուցում, որը ընդհանրապես չի կարող փաթեթ առաջարկել, ապա համեմատեք կարգավորված ցանկերը։

Ապացուցեք բանակցությունը նոր կապի վրա

Հաջող ձեռքսեղմումը միակ ապացույցն է, որ հաշվի է առնվում, և այն պետք է գա իրական հաճախորդից իրական պրոֆիլով։ Բարձրացրեք սերվերի մանրամասնության մակարդակը, միացեք մեկ անգամ և մատյանից կարդացեք բանակցված արձանագրության տարբերակը և փաթեթը՝ փոխարենը չենթադրելով, թե առաջին առաջարկված արժեքը հաղթեց։ Ապա առանձին հաստատեք տվյալների ալիքը թունելով անցնող երթևեկությամբ, քանի որ աշխատող ձեռքսեղմումը և ձախողվող տվյալների ալիքը տարբեր վերանորոգումներ են։ Կրկնեք ցանկացած կարգավորման փոփոխությունից հետո, քանի որ հնացած հաճախորդի պրոֆիլը սովորական կեղծ բացասական է։

Եթե հաստատված ընդհանուր կարգավորում չկա, պատասխանը թարմացումն է կամ միգրացիայի պլանը, ոչ թե թուլացված քաղաքականությունը։ tls-version-min իջեցնելը, ստուգումն անջատելը կամ բոլոր հին փաթեթները միացնելը վերացնում է մերժումը՝ չկատարելով այն անվտանգության պահանջը, որն առաջացրել է այն։

Փոփոխության տոմսում գրառեք բանակցված տարբերակը, փաթեթը և տվյալների ծածկագիրը։ Հաջորդ մարդը, ով կհանդիպի TLS սխալի, կսկսի այդ գրառումից, այլ ոչ թե ֆորումի գրառման մեջ գտած ծածկագրի տողից։