OpenVPN пакетінің HMAC аутентификациясы сәтсіз аяқталды: қай деңгей?
Пакет тегінің сәйкессіздігі аккаунт туралы үкім емес. Процесс жүктеген профильді, содан кейін басқару және деректер арналарының параметрлерін салыстырыңыз, кілттерге тимес бұрын.
Екі ақау бір сөздікпен хабарланады және олардың ортақ түктері жоқ. Біреуі — аутентификация тегі расталмаған пакет; екіншісі — тіркелгі деректері қабылданбаған адам. Біріншісін екіншісі деп қарау сізді ешқашан мәселе болмаған құпия сөзді іздеуге жібереді.
Хабарлама деңгейді атайды, ал пайдалы жұмыс — кез келген материалды ауыстырмас бұрын қай деңгей екенін шешу. Үміткерлерді қатар қою айырмашылықты көрудің ең жылдам жолы.
Бір сөзді бөлісетін екі ақау
Пакет аутентификациясының қатесі трафикті өңдеу кезінде пайда болады: қабылданған пакеттегі тег немесе дайджест қабылдаушы есептеген мәнмен сәйкеспеді. Аккаунттан бас тарту кіру алмасуы талданғаннан кейін болады және пакетті емес, пайдаланушыны атайды. Үшінші хабарлама, кіріс пакетінде HMAC табылмауы туралы, тағы басқаша, өйткені онда пакет күтілген аутентификация элементінсіз келді. Толық журнал префиксі үшеуінің қайсысы бар екенін айтады, ал префикс әдетте қатені тикетке қойғанда бірінші жойылатын нәрсе.
Айырмашылық жөндеуді өзгертеді. Біреуі арна параметрлерінің сәйкестігін, екіншісі аккаунт күйін, үшіншісі жеткен тыңдаушыға сай келмейтін профильді талап етеді.
Жұмыс істеп тұрған процесс шын мәнінде нені жүктегенін салыстырыңыз
Дискідегі дұрыс файл ол өңделгенге дейін басталған процесс туралы ештеңе дәлелдемейді. Таңдалған профильді, байланысқан шеткі нүктені және өзгерістен кейін қызмет қайта жүктелгенін тексеріңіз. Шеткі нүкте профильге тиесілі екенін де растаңыз, өйткені ескі файл басқа нәрсені күтетін жерде басқа дана немесе басқа қызмет тыңдауы мүмкін.
Қолдау көрсетілетін профильді сол көзден қайта экспорттау арзан салыстыру, өйткені ол конфигурацияланған деп ойлағаныңыз бен клиент шын мәнінде жіберетіннің арасындағы ауытқуды жояды. Жаңа кілт материалын жасау әлдеқайда үлкен қадам және екі жақ оны бірге қабылдаса ғана көмектеседі. Бір жағын жергілікті түрде ауыстыру сіз жоймақ болған сәйкессіздікті қайта жасайды.
Басқару арнасын деректер арнасымен салыстырыңыз
Екі механизм қосылымның түрлі бөліктерін аутентификациялайды және бөлек конфигурацияланады, 2.6 параметрлер анықтамасы сипаттағандай. tls-auth басқару арнасының пакеттеріне HMAC қосады және екі серіктесте қарама-қарсы болуы керек бағыт аргументін алады, ал tls-crypt басқару арнасын оның орнына ортақ кілтпен қорғайды. Екеуі де деректер арнасының өзіндік тұтастық тексерісі емес. AEAD деректер шифрында бұл тексеріс шифрға кіріктірілген, сондықтан бөлек auth дайджест AEAD емес шифрдегідей пайдаланылмайды.
Бұл дегеніміз, жұмыс істеп тұрған AEAD емес орналастырудан көшірілген auth жолы AEAD орналастыруында маңызсыз болуы мүмкін, және AEAD орналастыруы басқару арнасында әлі де сәтсіз аяқталуы мүмкін, егер tls-auth кілт немесе оның бағыты дұрыс болмаса. Әр параметрді есте сақталған конфигурациямен емес, серіктеспен салыстырыңыз.
Түзетуді бас тартатын қасиетпен салыстырыңыз
Пакет аутентификациясын өшіру ескертуді тыныштандырады және сәйкессіздікті тапқан тексерісті жояды, бұл профильді жөндеумен бірдей емес. Қандай қасиеттен бас тартып жатқаныңызды және дизайн онсыз да тұрақты ма екенін сұраңыз.
Бірдеңені өзгерту алдында екі жақтағы бірінші маңызды оқиғаны оқыңыз, содан кейін ол атайтын сәйкессіздікті ғана өзгертіңіз.
Егер келесі әрекет сертификат немесе кіру қатесіне жетсе, бұл шегіну емес, ілгерілеу: пакет деңгейі енді келіседі және қосылым ілгері жүрді. Өзгеріс туғызған параметрлерді жазып қойыңыз, келесі адам жұмбақ емес, түсініктеме мұралансын.