რომელ OpenVPN პაკეტებს იცავს auth-ის digest?
auth პარამეტრი იმაზე ნაკლებს ფარავს, ვიდრე პროფილი მიგვანიშნებს. სანამ digest-ის პოლიტიკას დააწესებთ, გაიარეთ არხი, AEAD შემთხვევა და საკონტროლო არხის დაცვა.
OpenVPN-ის digest-ებზე კამათის უმეტესობა არასწორი პაკეტიდან იწყება. auth SHA256 რომ «მიიღე მხოლოდ ის პირები, რომლებიც SHA256-ს გვთავაზობენ» ასე წაკითხვა პირველი რამ არის, რაც უნდა დაივიწყოთ. პარამეტრი digest-ს ასახელებს გარკვეული პაკეტებისთვის, და რომელი პაკეტებია ეს, დამოკიდებულია არხზე და იმაზე, AEAD-ია თუ არა ეს არხი. გაიარეთ ქვემოთ მოცემული ოთხი კითხვა თანმიმდევრობით; თითოეული ავიწროებს, რას ნიშნავს პარამეტრი თქვენს განლაგებაში.
დაასახელეთ არხი, რომელიც პარამეტრმა უნდა დაიცვას
OpenVPN აქვს საკონტროლო არხი, რომელიც TLS-ის ხელის ჩამორთმევის ტრაფიკს ატარებს, და მონაცემთა არხი, რომელიც გვირაბის დატვირთვას ატარებს. auth-ის digest-ს ორივეში აქვს როლი, მაგრამ არა ერთი და იგივე, და პროფილი განსხვავებას იშვიათად ხდის თვალსაჩინოს. სანამ კონფიგურაციის ფაილს შეეხებით, ჩამოწერეთ, რომელი მათგანის შეზღუდვას ცდილობთ.
ქვემოთ მოცემული ცხრილი მოკლე ვერსიაა იმისა, თუ როგორ ხვდება იგივე პარამეტრი თითოეულ კონტექსტში.
| Context | What the auth digest does |
|---|---|
| Data channel without AEAD | Selects the HMAC digest that authenticates each data packet |
| Data channel with AEAD, such as GCM | Unused for the data channel; the cipher authenticates its own packets |
| Control channel protected by tls-auth | Selects the HMAC digest for that protection, even when data is AEAD |
სანამ დაეყრდნობით, შეამოწმეთ, AEAD-ია თუ არა მონაცემთა არხი
თუ შეთანხმებული მონაცემთა შიფრი AES-GCM ან CHACHA20-POLY1305-ია, მონაცემთა არხი თავად ადასტურებს საკუთარ ავთენტურობას და ცალკე digest არ ასრულებს იმ სამუშაოს, რომელსაც შესაძლოა წარმოიდგენდეთ. ორივე AEAD კონსტრუქციაა, ამიტომ მთლიანობას ისივე ოპერაცია ქმნის, რომელიც დატვირთვას შიფრავს. ეს დონის დაწევა არ არის, მაგრამ ნიშნავს, რომ «ყოველი მონაცემთა პაკეტი HMAC-SHA256-ია» დასაბუთებული პოლიტიკა ამ გვირაბზე ფაქტობრივად მცდარია. სანამ პოლიტიკას გადაწერთ, დაადასტურეთ შეთანხმებული მნიშვნელობა სერვერის ჟურნალში ან კლიენტის სტატუსის გამოსავალში.
შეამოწმეთ რეალურად შეთანხმებული შიფრი და არა პროფილში მოცემული სია, რადგან მოლაპარაკება შეიძლება ნაკრების სხვა წევრზე დასრულდეს. data-ciphers AES-256-GCM:AES-128-GCM მოლაპარაკების სიაა, და ორივე ჩანაწერი AEAD-ია, ამიტომ არც ერთი მათგანი არ მოიხმარს auth-ის digest-ს დატვირთვის დაცვისთვის.
საკონტროლო არხის დაცვა დამოუკიდებელ გადაწყვეტილებად მიიჩნიეთ
tls-auth საკონტროლო არხის პაკეტებს HMAC-ს უმატებს და თავის digest-ს auth პარამეტრიდან იღებს, ამიტომ AEAD გვირაბს მაინც შეიძლება ჰქონდეს მნიშვნელობის მქონე digest კონფიგურირებული. tls-crypt სხვა განლაგებაა საკუთარი ფიქსირებული დაცვით, ამიტომ ნუ ჩათვლით, რომ იგი tls-auth-ის ყველა თვისებას მემკვიდრეობით იღებს. წაიკითხეთ არჩეული მექანიზმის დოკუმენტაცია და ნუ გადაიტანთ ვარაუდებს მათ შორის.
ორი პირი ასევე უნდა შეთანხმდეს განლაგებაზე და გასაღების მიმართულებაზე. თანხვედრი digest, მაგრამ არასწორი მიმართულებით გამოყენებული გასაღების ფაილი წარმოქმნის ხელის ჩამორთმევას, რომელიც იმ მიზეზების გამო ვარდება, რომელთა ახსნასაც digest-ის პარამეტრი ვერ ახერხებს.
auth გამოყავით შიფრის მოლაპარაკებისგან და სერტიფიკატებისგან
სამი პარამეტრი მუდმივად ერევა ერთმანეთს: auth-ის digest, მონაცემთა შიფრების სია და სერტიფიკატის ხელმოწერის ალგორითმი. პირველის შეცვლა არ გადასცემს სერტიფიკატს ხელახლა, არ ირჩევს მის ხელმოწერის digest-ს და არ ქმნის მომხმარებელი-პაროლი მეთოდს. პროტოკოლის პარამეტრების განმარტებები OpenVPN 2.6-ის წყაროებში თითოეულს თავის განყოფილებაში აღწერს, რაც სასარგებლო შეხსენებაა, რომ ეს დამოუკიდებელი ღილაკებია.
როცა digest-ის შეცვლის შემდეგ პირი უარს ამბობს დაკავშირებაზე, მიზეზი ჩვეულებრივ დანარჩენი ორი პარამეტრიდან ერთ-ერთში შეუთანხმებლობაა. სანამ რომელიმეს შეცვლით, წაიკითხეთ ორივე მხარე.
ჩამოწერეთ პოლიტიკა და შეადარეთ მას მოქმედ კონფიგურაციებს
ფლოტის დონის განაცხადი ერთსა და იმავე წინადადებაში ცალსახად უნდა ასახელებდეს დასაშვებ მონაცემთა არხის რეჟიმებს და არჩეულ საკონტროლო არხის დაცვას. ეს წინადადება შემოწმებადია; «ჩვენ SHA256-ს ვიყენებთ» — არა. შემდეგ შეადარეთ იგი მოქმედი სერვერისა და კლიენტის პროფილებს და არა რეპოზიტორიში არსებულ შაბლონს.
დაასრულეთ იმის ჩაწერით, თუ რაზე შეთანხმდა რეალურად თითოეული გვირაბი და რომელმა მექანიზმმა დაადასტურა მისი პაკეტები. პროფილში ხილული auth ხაზი მხოლოდ კონფიგურაციის განზრახვის მტკიცებულებაა, და განზრახვა შემოწმების ყველაზე იაფი ნაწილია.