OpenVPN-ის პაკეტის HMAC ავთენტიფიკაცია ვერ შესრულდა: რომელი დონე?
პაკეტის ტეგის შეუსაბამობა ანგარიშზე განაჩენი არ არის. შეადარეთ პროცესის მიერ ჩატვირთული პროფილი, შემდეგ საკონტროლო და მონაცემთა არხების პარამეტრები, სანამ გასაღებებს შეეხებით.
ორი ჩავარდნა ერთი და იმავე ლექსიკით მოხსენდება და საერთოდ არაფერი აქვთ საერთო. ერთი პაკეტია, რომლის ავთენტიფიკაციის ტეგი არ დადასტურდა; მეორე ადამიანია, რომლის სერტიფიკატები უარყვეს. პირველის მეორედ მიჩნევა გაგზავნის თქვენ პაროლის საძებნელად, რომელიც არასოდეს ყოფილა პრობლემა.
შეტყობინება ასახელებს დონეს, და სასარგებლო სამუშაოა გადაწყვიტოთ რომელი, სანამ რაიმე მასალას შეცვლით. კანდიდატების გვერდიგვერდ შედარება სხვაობის დანახვის უსწრაფესი გზაა.
ორი ჩავარდნა, რომლებიც ერთ სიტყვას იზიარებენ
პაკეტის ავთენტიფიკაციის შეცდომა ტრაფიკის დამუშავებისას წარმოიქმნება: მიღებულ პაკეტზე ტეგი ან დაიჯესტი არ დაემთხვა იმას, რაც მიმღებმა გამოთვალა. ანგარიშის უარყოფა ხდება შესვლის გაცვლის ანალიზის შემდეგ და ასახელებს მომხმარებელს, არა პაკეტს. მესამე შეტყობინება, შემომავალ პაკეტში HMAC-ის ვერ მოძიების შესახებ, კვლავ სხვაა, რადგან იქ პაკეტი საერთოდ მოსალოდნელი ავთენტიფიკაციის ელემენტის გარეშე ჩამოვიდა. სრული ჟურნალის პრეფიქსი გეუბნებათ, რომელი გაქვთ სამიდან, და პრეფიქსი ჩვეულებრივ პირველია, რასაც შლიან, როცა შეცდომას ტიკეტში აკრავენ.
განსხვავება ცვლის შეკეთებას. ერთი ითხოვს არხის პარამეტრების შესაბამისობას, მეორე ანგარიშის მდგომარეობას, ხოლო მესამე პროფილს, რომელიც არ ემთხვევა იმ მსმენელს, რომელსაც მიაღწია.
შეადარეთ, რა ჩატვირთა სინამდვილეში მოქმედმა პროცესმა
დისკზე სწორი ფაილი არაფერს ამტკიცებს იმ პროცესზე, რომელიც მის რედაქტირებამდე დაიწყო. შეამოწმეთ არჩეული პროფილი, დაკავშირებული ბოლო წერტილი და ხომ არ გადაიტვირთა სერვისი ცვლილების შემდეგ. ასევე დაადასტურეთ, რომ ბოლო წერტილი პროფილს ეკუთვნის, რადგან სხვა ინსტანცია ან სხვა სერვისი შეიძლება ისმენდეს იქ, სადაც ძველი ფაილი სხვა რამეს ელოდება.
მხარდაჭერილი პროფილის ხელახლა ექსპორტი იმავე წყაროდან იაფი შედარებაა, რადგან აშორებს გადახრას იმას შორის, რაც გგონიათ კონფიგურირებულად, და იმას შორის, რასაც კლიენტი რეალურად აგზავნის. ახალი გასაღების მასალის გენერირება გაცილებით დიდი ნაბიჯია და ეხმარება მხოლოდ მაშინ, თუ ორივე მხარე ერთად მიიღებს. ერთი მხარის ლოკალურად ჩანაცვლება ხელახლა ქმნის იმ შეუსაბამობას, რომლის მოშორებასაც ცდილობდით.
შეადარეთ საკონტროლო არხი მონაცემთა არხს
ორი მექანიზმი კავშირის სხვადასხვა ნაწილს ავთენტიფიცირებს და ცალ-ცალკე კონფიგურირდება, როგორც 2.6 პარამეტრების ცნობარი აღწერს. tls-auth HMAC-ს ამატებს საკონტროლო არხის პაკეტებს და იღებს მიმართულების არგუმენტს, რომელიც ორ თანამოსაუბრეზე საპირისპირო უნდა იყოს, მაშინ როცა tls-crypt საკონტროლო არხს სამაგიეროდ საერთო გასაღებით იცავს. არც ერთი არ არის მონაცემთა არხის საკუთარი მთლიანობის შემოწმება. AEAD მონაცემთა შიფრით ეს შემოწმება თავად შიფრშია ჩაშენებული, ამიტომ ცალკე auth დაიჯესტი ისე არ გამოიყენება, როგორც არა-AEAD შიფრის შემთხვევაში.
რაც ნიშნავს, რომ auth სტრიქონი, რომელიც მომუშავე არა-AEAD განლაგებიდან არის კოპირებული, შეიძლება უადგილო იყოს AEAD განლაგებაში, და AEAD განლაგება კვლავ შეიძლება ჩავარდეს საკონტროლო არხზე, თუ tls-auth გასაღები ან მისი მიმართულება არასწორია. შეადარეთ ყოველი პარამეტრი თანამოსაუბრეს და არა დამახსოვრებულ კონფიგურაციას.
შეადარეთ გამოსწორება იმ თვისებას, რომელსაც თმობთ
პაკეტების ავთენტიფიკაციის გამორთვა აჩუმებს გაფრთხილებას და აშორებს იმ შემოწმებას, რომელმაც შეუსაბამობა იპოვა, რაც არ არის იგივე, რაც პროფილის შეკეთება. იკითხეთ, რომელ თვისებას თმობთ და გაუძლებს თუ არა დიზაინი მის გარეშე.
სანამ რამეს შეცვლით, წაიკითხეთ პირველი შესაბამისი მოვლენა ორივე მხარეს, შემდეგ შეცვალეთ მხოლოდ ის შეუსაბამობა, რომელსაც ის ასახელებს.
თუ შემდეგი მცდელობა სერტიფიკატის ან შესვლის შეცდომამდე მიაღწევს, ეს პროგრესია და არა რეგრესია: პაკეტების დონე ახლა თანხმდება და კავშირი წინ წავიდა. ჩაწერეთ ის პარამეტრები, რომლებმაც ცვლილება გამოიწვია, რათა შემდეგმა ადამიანმა მემკვიდრეობით მიიღოს ახსნა და არა გამოცანა.