OpenVPN TLS-dulkóðunarvilla: berið fyrst saman báða enda

Villa um enga sameiginlega dulritun hljómar eins og ein stilling sem á að breyta, og stillingin sem flestir breyta er sú ranga. OpenVPN heldur aðskildum stefnum fyrir stjórnrásina sem framkvæmir TLS-handabandið og fyrir gagnarásina sem ber pakka inni í göngunum, og villan nefnir þá fyrri á meðan fólk breytir þeirri seinni. Samanburður á því sem hvort enda leyfir, í réttri röð, breytir giskanum í tvær eða þrjár ákvarðanir: útgáfa, þá setulisti, þá skilríki.

Ef röðin fer úrskeiðis geturðu eytt klukkustund í að bæta AES-nafni við lista sem aldrei var flett upp.

Tveir dulritunarlistar, og aðeins annar brýtur handabandið

Stjórnrásin semur um TLS-lotuna, og stefna hennar er skrifuð með tls-cipher fyrir TLS 1.2 og tls-ciphersuites fyrir TLS 1.3. Gagnarásin er stillt sér með data-ciphers, þar sem misræmi framleiðir tengingu sem kemst upp og getur þá ekki flutt umferð. Báðar framleiða villur sem nefna dulritanir, og þess vegna er þeim ruglað saman. Handaband sem klárast aldrei bendir á stjórnrásina, en uppsett göng sem sleppa pökkum benda á gagnarásina.

Lestu allan skilaboðin í stað fyrstu línu. Útgáfumisræmi, vantar setu, undirskriftarreiknirit skírteinis sem endinn hafnar og mistök við sannprófun hýsisnafns enda öll í TLS-villu, og aðeins ein þeirra snýr að setulistanum þínum. Að greina þessa flokka í sundur er stærsti hluti greiningarinnar.

Berðu saman útgáfur áður en þú ber saman setur

Endi sem er takmarkaður við TLS 1.2 og endi sem krefst 1.3 deila engri útgáfu, og enginn dulritunastrengur brúar það. Skráðu tls-version-min og tls-version-max á báða enda, eða sjálfgefin gildi þeirra smíða sem eru í notkun, því OpenSSL-stefna dreifingar getur hækkað lágmarkið án þess að nokkur OpenVPN-valkostur segi það. Ef annar endinn er tæki eða þriðja aðila biðlari er glugginn það sem fastbúnaðurinn leyfir. Aðeins þegar gluggarnir skarast hefur samanburður á setum eitthvert gildi.

Þessar skráningar ættu einnig að nefna raunverulegu tvíundaskrárnar. openvpn á skipanalínu á fartölvunni þinni er ekki endilega biðlarinn sem sér um innflutt prófíl.

Listar fyrir TLS 1.2 og TLS 1.3 blandast ekki

Nöfn seta á TLS 1.2 líta svona út: ECDHE-RSA-AES256-GCM-SHA384 og tilheyra tls-cipher, sem tekur við OpenSSL-dulritunastreng. Setur á TLS 1.3 heita TLS_AES_256_GCM_SHA384 og tilheyra tls-ciphersuites; að bæta einni við 1.2-strenginn stillir ekki 1.3-listann, og þáttarinn getur samþykkt textann án þess að passa hann nokkurn tíma. Sía sem er rétt fyrir eina útgáfu segir ekkert um hina. Skrifaðu niður hvaða útgáfu hver listi er ætlaður.

openvpn --show-tls prentar það sem staðbundin smíð styður, og það er birgðatala, ekki loforð: fjarlægi endinn leyfir kannski ekki þessar setur, og virki prófíllinn virkjar þær kannski ekki. Notaðu það til að útiloka smíð sem getur alls ekki boðið setu, og berðu svo saman stilltu listana.

Sýndu samningana á nýrri tengingu

Árangursríkt handaband er eina sönnunin sem gildir, og það verður að koma frá raunverulega biðlinum með raunverulega prófílnum. Hækkaðu smáatriðastig þjónsins, tengdu einu sinni og lestu samningsbundna prótókólútgáfu og setu úr skránni í stað þess að gera ráð fyrir að fyrsta gildið sem boðið var hafi unnið. Staðfestu svo gagnarásina sér með umferð í gegnum göngin, því virkt handaband og biluð gagnarás eru mismunandi viðgerðir. Endurtaktu eftir hverja stillingarbreytingu, því úrelt biðlaraprófíll er algeng röng neikvæð niðurstaða.

Ef engin samþykkt sameiginleg stilling er til, er svarið uppfærsla eða flutningsáætlun, ekki veikbúin stefna. tls-version-min lækkun, slökkt á sannprófun eða virkjun allra gamalla seta fjarlægir höfnunina án þess að uppfylla öryggiskröfuna sem skapaði hana.

Skráðu samningsbundnu útgáfuna, setuna og gagnadulritunina í breytingamiðann. Næsta manneskja sem mætir TLS-villu byrjar á þeirri skráningu í stað dulritunastrengs sem fannst í póstum á spjallborði.