OpenVPN data-ciphers деректер арнасының шифрын қалай таңдайды

Туннель көтеріледі, журнал шифрды көрсетеді және профиль шолуы жалғасады. Содан кейін бір серіктеске жаңарту келеді және сол профиль ортақ шифр жоқ деген хабарламамен сәтсіз аяқталады, бұл адамдарды жою керек директива іздеуге жібереді. Түсінуге пайдалы нәрсе — data-ciphers баптауды емес, келіссөзді сипаттайды. Бір жақ тізім ұсынады, екіншісі одан таңдайды, ал нәтиже екеуі де қолдайтын бір алгоритм. Бұл алмасуды оқу бір жолды өзгертуден бұрын осы сәтсіздіктердің көпшілігін түсіндіреді.

Екі арна, екі конфигурация

Бір OpenVPN сеансында басқару арнасы және деректер арнасы бар. Басқару арнасы серіктестерді аутентификациялайтын және кілттерді келісетін TLS қол алысуын орындайды. Деректер арнасы сіздің трафигіңізді тасымалдайтын пакеттерді шифрлайды.

data-ciphers екіншісін конфигурациялайды. Басқару арнасының өз опциялары бар, ал профильдің сәйкестік тексерулері — үшінші, бөлек мәселе. Біреуін өзгерту екіншісін түзетпейді, сондықтан профиль дұрыс көрініп, белгілі бір кезеңде сәтсіз аяқталуы мүмкін.

Конфигурация файлын оқығанда осы үшеуін бөлек жәшіктерде ұстаңыз.

Келіссөзді журналдан оқыңыз

Қосылым сәтті болғанда клиент журналы екі нәтижені де атайды. Бір жол басқару арнасы мен оның TLS мәліметтері туралы, екіншісі таңдалған деректер арнасының шифры туралы хабарлайды.

Екеуін де оқыңыз, өйткені олар әртүрлі сұрақтарға жауап береді. Басқару арнасының істен шығуы кез келген деректер шифры маңызды болмай тұрып қосылымды тоқтатады. Деректер арнасының сәйкессіздігі сәтті қол алысудан кейін, ортақ шифр жоқ деген хабарламамен көрінеді.

Содан кейін екі жақтағы ұсынылған тізімдерді салыстырыңыз. Бір серіктестің нұсқасы немесе оның крипто негізі ұсынбайтын атауды, ол басқа серіктестің тізімінде қаншалықты ерте көрінсе де, таңдауға болмайды.

Таңдау шын мәнінде қалай жүреді

Сервер қол алысу кезінде өзінің data-ciphers тізімін клиентке итереді, ал клиент сол тізімдегі өзі де қолдайтын бірінші жазбаны таңдайды. Сондықтан реттілік клиенттің емес, сервердің конфигурациясына жатады.

Бұл бөлшек шатастыратын нәтижелердің бір класын түсіндіреді. Сервер тізімі шешкен кезде клиент тізімін қайта реттеу ештеңені өзгертпейді. Клиент ұсына алмайтын шифрды қосу да ештеңені өзгертпейді, өйткені клиент таңдаған жазбаны пайдалана алуы керек.

Жаңа шығарылымдар әдепкі тізімді өзгертті және оны ұстаған опцияның атын өзгертті, сондықтан әртүрлі нұсқалардағы екі серіктес ешкім профильді өңдеместен келісе алмауы мүмкін. Теру қатесі деп ойламас бұрын әр жақтағы нұсқаны тексеріңіз.

Тізім абстрактілі мағынада күш рейтингі емес. Бұл үміткерлер жиынтығы, ал таңдалған — сервер реті бойынша бірінші өзара қолдау тапқан жазба. Сондықтан әртүрлі көрінетін екі тізім бір шифрды келісе алады. Сондықтан бірдей көрінетін екі тізім де сәтсіз аяқталуы мүмкін.

Ескі серіктестерге әдейі жасалған қосалқы нұсқа қажет

Механизмнен ескі болғандықтан немесе оны өшіріп қойғандықтан мүлдем келіссөз жүргізе алмайтын серіктеске құжатталған үйлесімділік шарты қажет. Қосалқы опция дәл осы жағдай үшін бар және келіссөздерге қатыспайтын серіктестерге қолданылады.

Бұл хабарлама жоғалуы үшін әрбір ескі шифрды қосумен бірдей емес. Кең тізім әр серіктес үшін сеансты әлсіретеді, тіпті мықты нәрсені келіскендер үшін де.

Байланыссыз алгоритм атауларын өңдеудің орнына екі жақты үйлестіріңіз. Егер сервер жаңартуы ескі опцияны алып тастаса, түзету нұсқа жоспарына жатады, клиенттегі асығыс әрекетке емес.

Тексеруді бұзылмаған күйде сақтаңыз

Деректер арнасының сәйкессіздігі тексерілмеген серверді қабылдауға себеп емес. Сертификатты тексеру, күтілетін сервер атауы және басқару арнасының қорғаныс параметрлері шифр таңдаудан бөлек және кез келген үйлесімділік өзгерісінен аман қалуы керек.

Келісілген деректер шифрын, клиент нұсқасын және сервер нұсқасын бірге жазып қойыңыз, келесі салыстыру профиль файлынан емес, фактілерден басталсын.

Қолдау көрсетілген түзетуден кейін бастапқы қосылымды және қайта келіссөзді сынап көріңіз, өйткені бір рет орнатылған сеанс кілттер жаңартылғанда әлі де сәтсіз аяқталуы мүмкін.

Егер туннель орнатылып, сайттар әлі істемесе, шифр енді күдікті емес. Маршруттау және DNS-пен жалғастырыңыз. Жұмыс тәртібі: екі журнал жолын оқыңыз, екі тізімді салыстырыңыз, нұсқаларды тексеріңіз, қосалқы нұсқаны оған мұқтаж серіктеске ғана қосыңыз, содан кейін жаңарту жолын қайта сынаңыз.