Af hverju stærri OpenVPN-lykill fjarlægir ekki endurnýjunartímann

Að velja AES-256 eða lengri lykil segir ekkert um hversu lengi má nota þann lykil. Styrkur lykilsins lýsir reikniritinu; endurnýjunarstefnan ræður því hvenær lotan leiðir nýtt lykilefni. Uppsetning getur valið sterkasta fáanlega dulritunina og samt haft rangt fyrir sér varðandi endurnýjun, því ákvarðanirnar tvær eru teknar á ólíkum stöðum. Að rugla þeim saman skilar annaðhvort óþarfa dulritunarskiptum eða lotu sem lifir stefnu sína í hljóði.

Lestu endurnýjunarstillingarnar áður en þú snertir dulritunina, og lestu báða enda þegar þú gerir það.

Styrkur lykils og líftími lykils svara ólíkum spurningum

Dulritunin og stærð lykilsins takmarka hversu dýr árás á handtekið umferð yrði. Endurnýjunarbilið takmarkar hversu mikla umferð einn lykill verndar og hversu lengi afhjúpaður lykill helst nytsamlegur. Þetta eru óháðir hnappar, og sterkari dulritun framlengir ekki öruggt líftíma lotu. Flestar leiðbeiningar sem segja 'notaðu AES-256' þegja um endurnýjun, því endurnýjun er stefnumál en ekki val á reikniriti.

Skráðu bæði í uppsetningarpunktana: hvað verndar gagnarásina, og hvað kveikir á skipti á lyklum hennar.

Endurnýjun hefur þrjár kveikjur, og báðir endar geta kveikt þær

OpenVPN 2.6 skjalfestir aðskildar kveikjur fyrir endursamninga byggðar á bætum, pökkum og liðnum tíma. Tímakveikjan er sú sem flestar uppsetningar láta standa á sjálfgefnu gildi, sem þýðir að hljóðlát göng endurnýja lykil samt samkvæmt áætlun. Báðir endar geta hafið skiptin, og sá endi sem hóf þau ekki fylgir. Að breyta tímanum á einum enda ákvarðar því ekki hegðun lotunnar; virka gildið er þess enda sem byrjar fyrst.

Kveikjur fyrir bæti og pakka skipta máli í álagi með miklum afköstum eða litlum pökkum, þar sem stefna sem byggir eingöngu á tíma myndi leyfa einum lykli að vernda mun meiri gögn en ætlað var. Ef þessir teljarar eru áfram óvirkir, segðu það viljandi í punktunum í stað þess að láta sjálfgefna gildið óskoðað.

Endurnýjun afhjúpar auðkenningarferlið

Endursamningur er ný TLS handsal, sem þýðir að auðkenningarleiðin fer aftur af stað. Uppsetningar með einnota kóða, vélbúnaðartóka eða RADIUS áskorun uppgötva þetta á erfiðan hátt: fyrsta tengingin virkar og lotan deyr klukkustund síðar þegar seinna handsalið biður um kóða sem þegar hefur verið notaður. auth-gen-token er til að brúa það bil með því að leyfa þjóninum að gefa út skammtímatóka fyrir endursamning í stað þess að krefjast nýrrar gagnvirkrar innskráningar.

Lítaðu á þetta sem vinnuflæðisvanda til að leysa með rekstraraðilanum, ekki sem sönnun þess að slökkva eigi á endurnýjun.

Prófaðu endurnýjun undir álagi, ekki í einnar mínútu lotu

Samþykktarpróf sem tengist, pingar einu sinni og aftengist nær aldrei endurnýjuninni. Keyrðu lotu nógu lengi til að komast yfir stilltu kveikjuna, haltu flutningi gangandi í gegnum hana, og fylgstu með annálum beggja enda eftir nýja handsalinu. Prófaðu svo bilunarferlið: hvað biðlarinn gerir ef ekki tekst að ljúka endursamningnum. Göng sem falla hreint eru auðveldari að greina en þau sem halda áfram að senda inn í dautt lotu.

Lestu ekki árangursríkan stóran flutning sem sönnun dulritunarmarks. Hann sýnir aðeins að leiðin og teljararnir hafi staðist þá umferð.

Skjalfestu báðar ákvarðanirnar

Færslan þarf tvær línur: hvernig pakkar eru verndaðir, og hvenær þeirri vernd er skipt út. Bættu við heimild fyrir hvert gildi, því dulritunin kann að koma úr sjálfgefnu dreifingar en tíminn kemur úr innri stefnu. Framtíðarrekstraraðili ætti ekki að þurfa að álykta sitt hvort úr stillingarskrá.

Ef samhæfni neyðir fram undantekning, takmarkaðu hana við útgáfu og lokadag. Undantekning sem lifir ástæðu sína lengur verður sú stefna sem enginn man að hafi valið hana.