tls-auth және tls-crypt: OpenVPN ішінде әрқайсысы нені қорғайды

Екі опция да ортақ кілт файлын пайдаланады және екеуі де қол алысу трафигін бұрмалауды қиындатады, сондықтан оларды бір функцияның екі атауы ретінде қарастырады. Бұлай емес. Біреуі басқару пакеттеріне қол қояды, екіншісі оларды шифрлайды да, және екеуінің де жүктемеңізді қорғайтын шифрға қатысы жоқ.

Бұл айырмашылық профиль қосыла алмағанда, қауіпсіздік тексеруі кілт нені қорғайтынын сұрағанда және біреу қосымша файл туннельді қандай да бір анықталмаған түрде шифрлайды деп ойлағанда маңызды.

Ортақ кілт шын мәнінде нені қорғайды

Бұл опциялар пайдаланатын кілт басқару арнасына жатады: параметрлерді келісетін, сәйкестіктерді дәлелдейтін және деректер кілттерін шығаратын алмасу. Бұл қол алысу жалғасуы үшін екі ұшында болуы тиіс алдын ала бөлінген құпия. Ол сәйкестік тексерулерінің алдында тұрғандықтан, қате кілт әңгімені қате құпия сөзден де ертерек тоқтатады. Дәл осы рет тәртібі істен шығу режимінің неге соншалықты үнсіз екенін түсіндіреді.

tls-auth осы құпияны басқару пакеттері бойынша HMAC есептеу үшін пайдаланады. Жарамды қолтаңбасыз пакет қымбатырақ TLS өңдеуіне жетпей тұрып тасталады, сондықтан бұл опцияны TLS орнына емес, бірінші сүзгі деп сипаттайды.

tls-crypt одан әрі барады: қорғалған басқару трафигін аутентификациялаумен қатар шифрлайды. Сертификаттардың мазмұны, келісілген шифр атаулары және қол алысудың басқа бөлшектері енді желіде көрінбейді, ал кілті жоқ бақылаушы қай TLS нұсқасы сыналып жатқанын да көре алмайды. Өзінің VPN ізі ашылуынан қорқатын орналастыру үшін дәл осы қасиет оны таңдаудың басты себебі. Ол әлі де топтық құпия, пайдаланушыға жеке тіркелгі емес.

Ешбір механизм сәйкестік бермейді. Ортақ кілт — топтық құпия, және оны ұстаған әркім тексерудің сол қабатынан өте алады.

Екі опция қай жерде ерекшеленеді

Көрінетін айырмашылық — бақылаушының не көретіні. tls-auth кезінде қол алысу көрінеді, бірақ кілтсіз тексерілмейді. tls-crypt кезінде қол алысу кілті жоқ кез келген адам үшін мөлдір емес.

Конфигурация да өзгеше. tls-auth бағыт мәнімен қолданылады, сондықтан бір жақ кілт материалының бір жартысын, екінші жақ қалған жартысын пайдаланады. tls-crypt екі бағытта да бір кілтті пайдаланады, сондықтан бағыт нұсқауы оның құрылымына кірмейді.

Заманауи шығарылымдарда екі опция бір-бірін жоққа шығарады. Профильде олардың біреуі болуы керек, екеуі емес, және сервер мен клиент қайсысы екенін, ұқсас кілт материалымен келісуі тиіс. Ескі нұсқауды жаңасының қасында ұстау — көшірудің жиі қалдығы. Белсенді емесін жойыңыз, сонда келесі оқырман қай қабаттың шын мәнінде күшінде екенін біледі.

Неғұрлым жаңа нұсқа, tls-crypt-v2, әр клиентті өзінің оралған кілтіне байланыстырады, сондықтан бір клиентті кері қайтару топтық кілтті қайта шығаруды талап етпейді. Бұл туралы білген жөн, бірақ ол басқа опция және осындағы екеуінің ешқайсысының синонимі емес.

Неге сәйкессіздік ештеңе болмағандай көрінеді

Ортақ материал сәйкес келмесе, қарсы жақ пакеттерді жіберушіге себебін айтпай тастайды. Оқитын аутентификация қатесі жоқ, өйткені пакет оны жасайтын қабатқа ешқашан жетпеген.

Клиент қайталап көреді, сервер ештеңе демейді, ал симптом желі мәселесіне ұқсайды. Сонда адамдар қызметті қайта іске қосады, тіркелгі құпия сөзін қайта тереді немесе «сынау» үшін қорғаныс нұсқауын алып тастайды, бұл диагностикалаудың орнына орналастыруды өзгертеді.

Сервер журналында соңғы қайталау жолын емес, пакет деңгейіндегі бірінші шағымды оқыңыз. Екі жақтың да бірдей кілт материалымен бірдей опцияны ұстайтынын және кілт файлы тек бір жақта қайта жасалмағанын растаңыз.

Нұсқауды жою қауіпсіз жөндеу емес. Ол әр клиент үшін қорғаныс қабатын өшіреді, ал кейін жұмыс істейтін туннель тек сол қабат сәйкессіздік болғанын дәлелдейді.

Тағы да не бөлек конфигурациялануы керек

Бұл опциялар қарсы жақтың кім екенін тексермейді. Сертификаттарды валидациялау, сенім тірегі және күтілетін сервер атауы жеке талап болып қалады, және ортақ кілт болғандықтан олардың ешқайсысы міндетті емеске айналмайды.

Олар деректер шифрын да таңдамайды. Бұл екі жақтың деректер арнасы параметрлері басқаратын жеке келіссөз, және tls-crypt арқылы қорғалған туннель де өзіңіз ойламаған шифрды пайдалана алады.

Соңында, ортақ кілттің өзі күтімді қажет етеді. Оны құпия ретінде ұстаңыз, бекітілген арна арқылы таратыңыз және оны ұстаған кез келген адам кеткенде ауыстырыңыз. Ол ортақ болғандықтан, оның ашылуы оны пайдаланатын әр ұштың ашылуы.