Неге үлкенірек OpenVPN кілті қайта кілттеу таймерін жоймайды

AES-256 немесе ұзынырақ кілт таңдау сол кілтті қанша уақыт пайдалануға болатыны туралы ештеңе айтпайды. Кілт күші алгоритмді сипаттайды; қайта кілттеу саясаты сессияның қашан жаңа кілт материалын алатынын шешеді. Орналастыру қол жетімді ең күшті шифрді таңдап, жаңартуда қателесуі мүмкін, өйткені бұл екі шешім әр жерде қабылданады. Оларды шатастыру не қажетсіз шифр ауыстыруға, не өз саясатынан үнсіз ұзақ өмір сүретін сессияға әкеледі.

Шифрға қол тигізбес бұрын қайта кілттеу баптауларын оқыңыз, және мұны істегенде екі жақты да оқыңыз.

Кілт күші мен кілттің қызмет мерзімі әртүрлі сұрақтарға жауап береді

Шифр мен кілт өлшемі ұсталған трафикке шабуылдың қаншалықты қымбат болатынын шектейді. Қайта кілттеу аралығы бір кілттің қанша трафикті қорғайтынын және ашылған кілттің қанша уақыт пайдалы қалатынын шектейді. Бұлар тәуелсіз тетіктер, ал күштірек шифр сессияның қауіпсіз мерзімін ұзартпайды. «AES-256 қолданыңыз» дейтін нұсқаулықтардың көбі жаңарту туралы үндемейді, өйткені жаңарту — алгоритм таңдау емес, саясат мәселесі.

Екеуін де орналастыру жазбаларына жазыңыз: деректер арнасын не қорғайды және оның кілттерін не ауыстырады.

Қайта кілттеудің үш триггері бар және кез келген жақ оларды іске қоса алады

OpenVPN 2.6 байт, пакет және өткен уақыт бойынша қайта келіссөзге арналған жеке триггерлерді құжаттайды. Уақыт триггері — орналастырулардың көбі әдепкіде қалдыратыны, яғни тыныш туннель де кесте бойынша қайта кілттеледі. Кез келген жақ айырбасты бастай алады, ал бастамаған жақ оған ереді. Сондықтан таймерді бір жақта өзгерту сессия мінезін анықтамайды; тиімді мән бірінші бастаған жақтыкі.

Байт және пакет триггерлері жоғары өткізу қабілеті немесе шағын пакет жүктемелері үшін маңызды, мұнда тек уақытқа негізделген саясат бір кілтке көзделгеннен әлдеқайда көп деректерді қорғауға жол берер еді. Егер бұл санауыштар өшірулі қалса, әдепкіні тексерілмеген күйде қалдырмай, оны жазбаларда әдейі айтыңыз.

Қайта кілттеу аутентификация ағынын ашады

Қайта келіссөз — жаңа TLS қол алысуы, яғни аутентификация жолы қайта жүреді. Бір реттік кодтарды, аппараттық токендерді немесе RADIUS шақыруын пайдаланатын орналастырулар мұны ауыр жолмен біледі: бірінші қосылым жұмыс істейді, ал бір сағаттан кейін сессия өледі, өйткені екінші қол алысу бұрын пайдаланылған кодты сұрайды. auth-gen-token осы олқылықты жабу үшін бар: сервер жаңа интерактивті кіруді талап етудің орнына қайта келіссөзге қысқа мерзімді токен бере алады.

Мұны оператормен бірге шешілетін жұмыс ағынының мәселесі деп қараңыз, жаңартуды өшіру керек деген дәлел ретінде емес.

Жаңартуды жүктеме астында сынаңыз, бір минуттық сессияда емес

Қосылып, бір рет ping жасап, ажырайтын қабылдау тесті қайта кілттеуге ешқашан жетпейді. Конфигурацияланған триггерден өтуге жететін ұзақ сессия жүргізіңіз, оның ішінде тасымалдауды үнемі қосып ұстаңыз және жаңа қол алысу үшін екі жақтың журналдарын қараңыз. Содан кейін сәтсіздік жолын сынаңыз: қайта келіссөз аяқталмаса, клиент не істейді. Таза құлайтын туннельді өлі сессияға жібере беретін туннельге қарағанда диагностикалау оңай.

Сәтті үлкен тасымалдауды криптографиялық шек дәлелі деп оқымаңыз. Ол тек жол мен санауыштардың сонша трафикті көтергенін көрсетеді.

Екі таңдауды да құжаттаңыз

Жазбаға екі жол керек: пакеттер қалай қорғалады және бұл қорғаныс қашан ауыстырылады. Әр мәннің өкілеттігін қосыңыз, өйткені шифр дистрибутивтің әдепкісінен келуі мүмкін, ал таймер ішкі саясаттан келеді. Болашақ оператор екеуін де конфигурация файлынан болжауға тиіс емес.

Егер үйлесімділік ерекшелік талап етсе, оны нұсқамен және аяқталу күнімен шектеңіз. Өз себебінен ұзақ өмір сүретін ерекшелік ешкім таңдағанын есіне алмайтын саясатқа айналады.