OpenVPN-тегі TLS шифр қатесі: алдымен екі тарапты салыстырыңыз

«Ортақ шифр жоқ» қатесі бір параметрді өзгерту керек сияқты естіледі, ал адамдардың көбі өзгертетін параметр дұрыс емес. OpenVPN TLS қол алысуын орындайтын басқару арнасы үшін және туннель ішінде пакеттерді тасымалдайтын деректер арнасы үшін бөлек саясаттар ұстайды, ал қате біріншісін атайды, адамдар екіншісін өңдейді. Әр тараптың неге рұқсат беретінін дұрыс ретпен салыстыру болжамды екі немесе үш шешімге айналдырады: нұсқа, содан кейін жиынтық тізімі, содан кейін тіркелгі деректері.

Осы ретті шатастырсаңыз, ешқашан қаралмаған тізімге AES атауын қосуға бір сағат жұмсауыңыз мүмкін.

Екі шифр тізімі, және қол алысуды тек біреуі бұзады

Басқару арнасы TLS сессиясы туралы келіседі, ал оның саясаты мынамен жазылады: tls-cipher TLS 1.2 үшін және tls-ciphersuites TLS 1.3 үшін. Деректер арнасы бөлек мынамен конфигурацияланады: data-ciphers, мұнда сәйкессіздік орнатылатын, бірақ кейін трафикті өткізе алмайтын қосылым жасайды. Екеуі де шифрлерді атайтын қателер береді, сондықтан оларды шатастырады. Ешқашан аяқталмайтын қол алысу басқару арнасын көрсетеді, ал орнатылған туннель пакеттерді тастаса, ол деректер арнасын көрсетеді.

Бірінші жолды емес, бүкіл хабарламаны оқыңыз. Нұсқа сәйкессіздігі, жетіспейтін жиынтық, тарап қабылдамайтын сертификат қолтаңба алгоритмі және хост атауын тексерудің сәтсіздігі — бәрі TLS қатесімен аяқталады, және солардың тек біреуі ғана сіздің жиынтық тізіміңізге қатысты. Осы санаттарды ажырату диагностиканың басым бөлігі.

Жиынтықтарды салыстырмас бұрын нұсқаларды салыстырыңыз

TLS 1.2-мен шектелген тарап пен 1.3-ті талап ететін тарапта ортақ нұсқа жоқ, және оны ешбір шифр жолы жалғастырмайды. Екі жақта да tls-version-min және tls-version-max жазып алыңыз, немесе қолданылып жатқан билдтердің әдепкі мәндерін, өйткені дистрибутивтің OpenSSL саясаты төменгі шекті OpenVPN-нің ешбір опциясы айтпай-ақ көтеруі мүмкін. Егер бір тарап құрылғы немесе үшінші тарап клиенті болса, оның терезесі — firmware рұқсат ететін шек. Терезелер қабаттасқанда ғана жиынтықтарды салыстырудың мәні бар.

Бұл жазбалар нақты бинарлық файлдарды да атауы керек. Ноутбуктегі пәрмен жолындағы openvpn импортталған профильді өңдейтін клиент бола бермейді.

TLS 1.2 және TLS 1.3 тізімдері араласпайды

TLS 1.2 жиынтықтарының атаулары мынаған ұқсайды: ECDHE-RSA-AES256-GCM-SHA384 және мынаған жатады: tls-cipher, ол OpenSSL шифр жолын қабылдайды. TLS 1.3 жиынтықтары былай аталады: TLS_AES_256_GCM_SHA384 және мынаған жатады: tls-ciphersuites; оның біреуін 1.2 жолына қосу 1.3 тізімін конфигурацияламайды, және парсер мәтінді ешқашан сәйкестендірмей-ақ қабылдауы мүмкін. Бір нұсқа үшін дұрыс сүзгі екіншісі туралы ештеңе айтпайды. Қай тізім қай нұсқаға арналғанын жазыңыз.

openvpn --show-tls жергілікті билд нені қолдайтынын шығарады, және бұл түгендеу, уәде емес: алыс тарап бұл жиынтықтарға рұқсат бермеуі мүмкін, ал белсенді профиль оларды қоспауы мүмкін. Оны мүлде жиынтық ұсына алмайтын билдті шығарып тастау үшін қолданып, содан кейін конфигурацияланған тізімдерді салыстырыңыз.

Жаңа қосылымда келіссөзді дәлелдеңіз

Сәтті қол алысу — есепке алынатын жалғыз дәлел, және ол нақты клиенттен нақты профильмен келуі керек. Сервердің егжей-тегжейлігін көтеріңіз, бір рет қосылыңыз және бірінші ұсынылған мән жеңді деп болжамай, журналдан келісілген протокол нұсқасы мен жиынтықты оқыңыз. Содан кейін деректер арнасын туннель арқылы өтетін трафикпен бөлек растаңыз, өйткені жұмыс істейтін қол алысу мен сәтсіз деректер арнасы әртүрлі жөндеулер. Кез келген конфигурация өзгерісінен кейін қайталаңыз, өйткені ескірген клиент профилі жиі кездесетін жалған теріс нәтиже.

Егер бекітілген ортақ конфигурация болмаса, жауап жаңарту немесе көшіру жоспары, әлсіретілген саясат емес. tls-version-min мәнін төмендету, тексеруді өшіру немесе барлық ескі жиынтықты қосу оны тудырған қауіпсіздік талабын орындамай-ақ бас тартуды жояды.

Өзгеріс билетіне келісілген нұсқаны, жиынтықты және деректер шифрын жазыңыз. Келесі жолы TLS қатесіне тап болған адам форумдағы жазбадан табылған шифр жолынан емес, сол жазбадан бастайды.