რატომ არ აშორებს უფრო დიდი OpenVPN გასაღები ხელახალი გასაღების ტაიმერს

AES-256-ის ან უფრო გრძელი გასაღების არჩევა არაფერს ამბობს იმაზე, რამდენ ხანს შეიძლება ამ გასაღების გამოყენება. გასაღების სიძლიერე აღწერს ალგორითმს; ხელახალი გასაღების პოლიტიკა წყვეტს, როდის მიიღებს სესია ახალ გასაღების მასალას. გამოყენებამ შეიძლება აირჩიოს ყველაზე ძლიერი ხელმისაწვდომი შიფრი და მაინც შეცდეს განახლებაში, რადგან ეს ორი გადაწყვეტილება სხვადასხვა ადგილას მიიღება. მათი არევა იძლევა ან ზედმეტ შიფრის ცვლილებას, ან სესიას, რომელიც ჩუმად სცდება თავის პოლიტიკას.

წაიკითხეთ ხელახალი გასაღების პარამეტრები შიფრზე შეხებამდე, და ამის კეთებისას წაიკითხეთ ორივე მხარე.

გასაღების სიძლიერე და გასაღების ვადა სხვადასხვა კითხვას პასუხობს

შიფრი და გასაღების ზომა ზღუდავს, რამდენად ძვირი იქნება ატაკა ჩაჭერილ ტრაფიკზე. ხელახალი გასაღების ინტერვალი ზღუდავს, რამდენ ტრაფიკს იცავს ერთი გასაღები და რამდენ ხანს რჩება გამჟღავნებული გასაღები სასარგებლო. ეს დამოუკიდებელი ღილაკებია და უფრო ძლიერი შიფრი არ აგრძელებს სესიის უსაფრთხო ვადას. „გამოიყენეთ AES-256“ მითითებების უმეტესობა განახლებაზე დუმს, რადგან განახლება პოლიტიკის საკითხია და არა ალგორითმის არჩევანი.

ორივე ჩაწერეთ გამოყენების შენიშვნებში: რა იცავს მონაცემთა არხს და რა იწვევს მისი გასაღებების შეცვლას.

ხელახალ გასაღებას სამი ტრიგერი აქვს და ნებისმიერ მხარეს შეუძლია მათი გააქტიურება

OpenVPN 2.6 აღწერს ცალკე ტრიგერებს ხელახალი მოლაპარაკებისთვის ბაიტების, პაკეტებისა და გასული დროის მიხედვით. დროის ტრიგერი არის ის, რომელსაც განლაგებების უმეტესობა ნაგულისხმევზე ტოვებს, რაც ნიშნავს, რომ მშვიდი გვირაბი მაინც ხელახლა იღებს გასაღებს გრაფიკის მიხედვით. ნებისმიერ მხარეს შეუძლია დაიწყოს გაცვლა, ხოლო მხარე, რომელმაც არ დაიწყო, მიჰყვება. ამიტომ ტაიმერის შეცვლა ერთ მხარეს არ განსაზღვრავს სესიის ქცევას; ეფექტური მნიშვნელობა იმ მხარის არის, რომელიც პირველი იწყებს.

ბაიტისა და პაკეტის ტრიგერები მნიშვნელოვანია მაღალი გამტარუნარიანობის ან მცირე პაკეტების დატვირთვისთვის, სადაც მხოლოდ დროზე დაფუძნებული პოლიტიკა საშუალებას მისცემდა ერთ გასაღებს დაეცვა გაცილებით მეტი მონაცემი, ვიდრე განზრახული იყო. თუ ეს მთვლელები გამორთული რჩება, თქვით ეს განზრახ შენიშვნებში, ნაგულისხმევის შეუმოწმებლად დატოვების ნაცვლად.

ხელახალი გასაღება ამჟღავნებს აუთენტიფიკაციის პროცესს

ხელახალი მოლაპარაკება ახალი TLS ხელის ჩამორთმევაა, რაც ნიშნავს, რომ აუთენტიფიკაციის გზა ისევ გადის. ერთჯერადი კოდების, აპარატული ტოკენების ან RADIUS გამოწვევის გამოყენებით მომუშავე განლაგებები ამას ძნელად იგებენ: პირველი კავშირი მუშაობს და სესია კვდება ერთი საათის შემდეგ, როცა მეორე ხელის ჩამორთმევა ითხოვს უკვე გამოყენებულ კოდს. auth-gen-token არსებობს ამ ხარვეზის გადასაფარად: სერვერს საშუალებას აძლევს, გასცეს მოკლევადიანი ტოკენი ხელახალი მოლაპარაკებისთვის, ნაცვლად ახალი ინტერაქტიული შესვლის მოთხოვნისა.

ეს მიუდექით როგორც ოპერატორთან ერთად გადასაწყვეტ სამუშაო პროცესის პრობლემას, და არა როგორც მტკიცებას, რომ განახლება უნდა გამოირთოს.

გამოსცადეთ განახლება დატვირთვის ქვეშ, და არა ერთწუთიან სესიაში

მიღების ტესტი, რომელიც უკავშირდება, ერთხელ აკეთებს ping-ს და წყვეტს, ვერასოდეს აღწევს ხელახალ გასაღებამდე. გაუშვით საკმარისად ხანგრძლივი სესია კონფიგურირებული ტრიგერის გადასალახად, შეინარჩუნეთ გადაცემა მთელი დროის განმავლობაში და დააკვირდით ორივე მხარის ჟურნალებს ახალი ხელის ჩამორთმევისთვის. შემდეგ გამოსცადეთ წარუმატებლობის გზა: რას აკეთებს კლიენტი, თუ ხელახალი მოლაპარაკება ვერ დასრულდება. გვირაბი, რომელიც სუფთად ვარდება, უფრო ადვილად დიაგნოსტირდება, ვიდრე ის, რომელიც აგრძელებს გაგზავნას მკვდარ სესიაში.

წარმატებული დიდი გადაცემა ნუ წაიკითხეთ როგორც კრიპტოგრაფიული ზღურბლის მტკიცება. ის მხოლოდ აჩვენებს, რომ გზამ და მთვლელებმა გაუძლეს ამდენ ტრაფიკს.

ორივე არჩევანი დააფიქსირეთ

ჩანაწერს ორი ხაზი სჭირდება: როგორ იცავენ პაკეტებს და როდის იცვლება ეს დაცვა. დაამატეთ თითოეული მნიშვნელობის უფლებამოსილება, რადგან შიფრი შეიძლება დისტრიბუტივის ნაგულისხმევიდან მოვიდეს, ხოლო ტაიმერი შიდა პოლიტიკიდან. მომავალ ოპერატორს არც ერთი მათგანი არ უნდა მოუწიოს კონფიგურაციის ფაილიდან გამოტანა.

თუ თავსებადობა აიძულებს გამონაკლისს, შემოიფარგლეთ ვერსიითა და დასრულების თარიღით. გამონაკლისი, რომელიც თავის მიზეზზე დიდხანს ცოცხლობს, ხდება პოლიტიკა, რომლის არჩევაც არავის ახსოვს.