როგორ ირჩევს OpenVPN data-ciphers მონაცემთა არხის შიფრს
სერვერი გვთავაზობს სიას და კლიენტი ირჩევს პირველ დამთხვევას. წაიკითხეთ ჟურნალის ორივე სტრიქონი, შეადარეთ სიები და დაამატეთ სარეზერვო მხოლოდ იქ, სადაც პარტნიორს ის სჭირდება.
გვირაბი ადის, ჟურნალი აჩვენებს შიფრს და პროფილის მიმოხილვა გრძელდება. შემდეგ პარტნიორთან მოდის განახლება და იგივე პროფილი ვარდება შეტყობინებით საერთო შიფრის არარსებობის შესახებ, რაც ხალხს აგზავნის საძებნელად წასაშლელი დირექტივისა. სასარგებლო გასაგებია, რომ data-ciphers აღწერს მოლაპარაკებას და არა პარამეტრს. ერთი მხარე გვთავაზობს სიას, მეორე ირჩევს მისგან, და შედეგი არის ერთი ალგორითმი, რომელსაც ორივე მხარე უჭერს მხარს. ამ გაცვლის წაკითხვა ხსნის ამ წარუმატებლობების უმეტესობას სტრიქონის შეცვლამდე.
ორი არხი, ორი კონფიგურაცია
ერთ OpenVPN სესიას აქვს საკონტროლო არხი და მონაცემთა არხი. საკონტროლო არხი ასრულებს TLS ხელის ჩამორთმევას, რომელიც ავთენტიფიცირებს პარტნიორებს და ათანხმებს გასაღებებს. მონაცემთა არხი შიფრავს პაკეტებს, რომლებიც თქვენს ტრაფიკს ატარებენ.
data-ciphers აკონფიგურირებს მეორეს. საკონტროლო არხს აქვს საკუთარი პარამეტრები, ხოლო პროფილის იდენტობის შემოწმებები მესამე, ცალკე საკითხია. ერთის შეცვლა არ ასწორებს მეორეს, ამიტომ პროფილი შეიძლება სწორად გამოიყურებოდეს და მაინც ჩავარდეს გარკვეულ ეტაპზე.
შეინახეთ სამივე ცალკე ყუთში, როცა კონფიგურაციის ფაილს კითხულობთ.
წაიკითხეთ მოლაპარაკება ჟურნალიდან
კლიენტის ჟურნალი ასახელებს ორივე შედეგს, როცა კავშირი წარმატებულია. ერთი სტრიქონი იუწყება საკონტროლო არხზე და მის TLS დეტალებზე, ხოლო მეორე — არჩეულ მონაცემთა არხის შიფრზე.
წაიკითხეთ ორივე, რადგან ისინი სხვადასხვა კითხვას პასუხობენ. საკონტროლო არხის ხარვეზი აჩერებს კავშირს მანამ, სანამ რომელიმე მონაცემთა შიფრი მნიშვნელოვანი გახდება. მონაცემთა არხის შეუსაბამობა ჩნდება წარმატებული ხელის ჩამორთმევის შემდეგ, შეტყობინებით საერთო შიფრის არარსებობის შესახებ.
შემდეგ შეადარეთ შეთავაზებული სიები ორივე მხარეს. სახელი, რომელსაც ერთი პარტნიორის ვერსია ან მისი კრიპტო საფუძველი არ იძლევა, ვერ შეირჩევა, მიუხედავად იმისა, რამდენად ადრე ჩნდება ის მეორე პარტნიორის სიაში.
როგორ ხდება სინამდვილეში არჩევა
სერვერი ხელის ჩამორთმევის დროს თავის data-ciphers სიას უგზავნის კლიენტს, და კლიენტი ირჩევს ამ სიაში პირველ ჩანაწერს, რომელსაც თავადაც უჭერს მხარს. ამიტომ რიგითობა ეკუთვნის სერვერის კონფიგურაციას და არა კლიენტისას.
ეს დეტალი ხსნის დამაბნეველი შედეგების ერთ კლასს. კლიენტის სიის გადალაგება არაფერს ცვლის, სანამ სერვერის სია წყვეტს. ისეთი შიფრის დამატება, რომელსაც კლიენტი ვერ უზრუნველყოფს, ასევე არაფერს ცვლის, რადგან კლიენტმა უნდა შეძლოს არჩეული ჩანაწერის გამოყენება.
ახალ გამოშვებებს შეცვალეს ნაგულისხმევი სია და გადაარქვეს სახელი იმ პარამეტრს, რომელიც მას ინახავდა, ამიტომ სხვადასხვა ვერსიის ორი პარტნიორი შეიძლება არ შეთანხმდეს იმის გარეშე, რომ ვინმემ პროფილი შეცვალოს. შეამოწმეთ ვერსია თითოეულ მხარეს, სანამ ბეჭდვით შეცდომას ჩათვლით.
სია აბსტრაქტული გაგებით ძალის რეიტინგი არ არის. ეს არის კანდიდატების ნაკრები, და არჩეული არის პირველი ურთიერთდაჭერილი ჩანაწერი სერვერის რიგითობაში. ამიტომ ორი განსხვავებულად დანახული სია შეიძლება შეთანხმდეს ერთსა და იმავე შიფრზე. ამიტომაც ორი იდენტურად დანახული სია შეიძლება ჩავარდეს.
ძველ პარტნიორებს სჭირდებათ განზრახ სარეზერვო ვარიანტი
პარტნიორს, რომელსაც საერთოდ არ შეუძლია მოლაპარაკება, რადგან მექანიზმზე უფროსია ან გამორთული აქვს, სჭირდება დოკუმენტირებული თავსებადობის შეთანხმება. სარეზერვო პარამეტრი არსებობს ზუსტად ამ შემთხვევისთვის და ეხება პარტნიორებს, რომლებიც მოლაპარაკებაში არ მონაწილეობენ.
ეს არ არის იგივე, რაც ყველა ძველი შიფრის ჩართვა შეტყობინების გასაქრობად. ფართო სია ასუსტებს სესიას ყველა პარტნიორისთვის, მათ შორის მათთვის, ვინც ძლიერ რამეზე შეთანხმდებოდა.
კოორდინაცია გაუწიეთ ორივე მხარეს იმის ნაცვლად, რომ დაუკავშირებელი ალგორითმების სახელები შეცვალოთ. თუ სერვერის განახლებამ ძველი პარამეტრი წაშალა, შესწორება ეკუთვნის ვერსიების გეგმას და არა კლიენტზე აჩქარებას.
შეინარჩუნეთ შემოწმება ხელუხლებელი
მონაცემთა არხის შეუსაბამობა არ არის მიზეზი მიუღებელი სერვერის მისაღებად. სერტიფიკატის შემოწმება, მოსალოდნელი სერვერის სახელი და საკონტროლო არხის დაცვის პარამეტრები გამოყოფილია შიფრის არჩევისგან და უნდა გადაურჩეს ნებისმიერ თავსებადობის ცვლილებას.
ჩაიწერეთ ერთად შეთანხმებული მონაცემთა შიფრი, კლიენტის ვერსია და სერვერის ვერსია, რათა შემდეგი შედარება ფაქტებიდან დაიწყოს და არა პროფილის ფაილიდან.
მხარდაჭერილი შესწორების შემდეგ გამოსცადეთ საწყისი კავშირი და ხელახალი მოლაპარაკება, რადგან ერთხელ დამყარებული სესია მაინც შეიძლება ჩავარდეს გასაღებების განახლებისას.
თუ გვირაბი დამყარდება და საიტები მაინც ვერ იხსნება, შიფრი აღარ არის ეჭვმიტანილი. გააგრძელეთ მარშრუტიზაციით და DNS-ით. სამუშაო თანმიმდევრობა: წაიკითხეთ ჟურნალის ორივე სტრიქონი, შეადარეთ ორივე სია, შეამოწმეთ ვერსიები, დაამატეთ სარეზერვო მხოლოდ მისთვის, ვისაც ის სჭირდება, და შემდეგ ხელახლა გამოსცადეთ განახლების გზა.