8192 биттік кілттер қол алысуды тоқтатады; 1024 биттік DH қабылданбайды

Бір серверде клиенттер біраз уақыт қатып қалады да, кейін қайта қосылады, ал екіншісі кілт өлшемі туралы хабарламамен қосылымдарды бірден қабылдамайды. Олар түрлі қателер сияқты көрінеді, бірақ бұл қарама-қарсы бағыттарға көрсететін бір қате. Қол алысу криптографиясының параметр өлшемімен өсетін құны бар, және заманауи кітапханалар төмен түспейтін төменгі шегі де бар. Материалдың өлшемін анықтау — бақылау тізімі, ал бірінші тармақ — екі қатенің қайсысы шынымен сізде екенін шешу.

Бірдеңені қайта жасамас бұрын сәтсіздікті оқыңыз

Уақыт сізге оның көбін айтады. Бірнеше секунд алып, содан кейін өлетін қол алысу әдетте есептеу қарсы жақтың шыдамынан асып кеткенін білдіреді, бұл аппараттық құрал немесе уақыт шегі үшін тым үлкен параметрлерге нұсқайды. Кілт немесе топ өлшемін атайтын бірден бас тарту қарсы бағытқа, кітапхана мүлдем қабылдамайтын материалға нұсқайды.

Бұл екеуіне қарама-қарсы түзетулер керек, және көптеген әрекет осы жерде қателеседі. Кішкентай топты әлдеқашан қабылдамаған клиентте 8192 биттік параметрлерді қайта жасау баяу жағдайды нашарлатады, ал жылдам жағдайға ештеңе істемейді. Файлға тиіспес бұрын қандай симптомды байқағаныңызды жазып қойыңыз.

Содан кейін қарсы жақтан не талап етілетінін тексеріңіз. Үлкен ақырғы өріс тобына арналған сервер әрбір клиентті тек қосылу кезінде емес, әр қайта келіссөзде бірдей процессор уақытын жұмсауға мәжбүр етеді. Егер мәселе іске қосылуда емес, тұрақты аралықта пайда болса, бұл аралық қай параметрдің қымбат екеніне күшті белгі. Қайта келіссөз бүкіл есептеуді қайталайды, сондықтан әр сағат сайын қайталанатын тоқырау әдетте сол құнның қайта төленуі.

Баяу жағдай: аппараттық құрал көтере алмайтын материал

Diffie-Hellman және RSA жұмысы кілт өлшемімен тез өседі, және мұның бәрі туннельден ешқандай трафик өтпес бұрын болады. Шағын маршрутизаторда немесе қуаты аз клиентте жеткілікті үлкен топ алмасуды қарсы жақтың уақыт шегінен тыс итеруі мүмкін, сондықтан қосылым қайта әрекет етеді немесе ешқандай қатесіз жай ғана қатып қалғандай көрінеді.

Түзету — әр қарсы жақ қолдайтын және әр құрылғы жайлы есептей алатын өлшемге түсу. 2048 биттік RSA кілті мен 2048 биттік топ кең үйлесімді негізгі сызық болып қалады; үлкенірек тек барлық жақ келіскенде және процессор оны әр қайта келіссөзде төлей алғанда көмектеседі. Осы негізгі сызықтан жоғарының бәрі әдейі жасалған айырбас, жаңарту емес.

Өлшем ұпай емес, және салыстыру кестесіндегі ең үлкен сан автоматты түрде дұрыс таңдау емес. Саясатыңыз рұқсат ететін және барлық қарсы жақ қабылдайтын ең кіші мәнді таңдаңыз, содан кейін жақсарды деп болжаудың орнына қол алысуды өлшеңіз. Әлі де уақыт шегінен өтетін кішірек топ өлшем ешқашан бүкіл әңгіме болмағанын айтады.

Жылдам жағдай: кітапхана қабылдамайтын топ

Заманауи OpenSSL құрастырулары ең кіші ақырғы өріс топтарын бірден қабылдамайды, ал көтерілген қауіпсіздік деңгейі төменгі шекті одан сайын жоғары итереді. Онжылдық параметр файлын алып жүретін маршрутизатор прошивкасы әдеттегі көз, ал симптом — топты немесе кілт өлшемін атайтын хабарламамен бірден сәтсіз болатын қосылым. Бұл сәтсіздікте ешнәрсе үзілісті емес, және дәл сол оны тануды жеңілдетеді.

Тексеруді айналып өту үшін конфигурацияны өңдеудің орнына файлды ауыстырыңыз. Ағымдағы топты жасаңыз, оны растаңыз, содан кейін демон шынымен оқитын жерге орнатыңыз. Ескі файлды клиент жаңасымен сәтті қосылғанша сақтаңыз:

openssl dhparam -out /etc/openvpn/ffdhe2048.pem 2048
openssl dhparam -in /etc/openvpn/ffdhe2048.pem -check -noout
ls -l /etc/openvpn/ffdhe2048.pem

Тексеру командасы файлды растайды және ол өткенде пайдалы ештеңе шығармайды; тізім қызмет жүктейтін файлды ауыстырғаныңызды, ал жанындағы ескірген көшірмені емес екенін растайды. Конфигурацияны сол жолға бағыттаңыз, демонды қайта іске қосыңыз және бұрын сәтсіз болған клиент енді қол алысуды аяқтайтынын растаңыз.

Егер сервер қауіпсіздік деңгейін немесе сертификат профилін де орнатса, топ қате болды деп қорытындыламас бұрын оларды оқыңыз. Қатаңырақ класты талап ететін профиль әдепкі қабылдайтын материалды қабылдамауы мүмкін, және бұл параметрді жою тексеруді жаһандық өшіруден тар өзгеріс.

Қарсы жақ пен аппараттық құралға өлшем таңдаңыз

Экзотикалық нәрсе жасамас бұрын алыс жақтың нені көтеретінін біліңіз. 2048 биттік топ үшін тым ескі құрылғы ауыстырылуы керек құрылғы, өйткені серверді әлсіз топқа бағыттау үйлесімділік шағымын тек іркіліске айналдырады. Тұрақты түзетулер ескі параметрлерге емес, жаңа бағдарламалық жасақтамаға қарай жылжиды. Бұл саладағы әр уақытша ерекшелік тұрақты конфигурацияға айналудың жолын табады.

Шектеу сервердің процессоры болса, саясаттан төмен түсудің орнына алгоритмді өзгертіңіз. X25519 сияқты эллипстік қисық кілт алмасуы үлкен ақырғы өріс тобынан әлдеқайда арзан және кеңінен қолдау табады, бұл оны өнімділік шағымына кішірек RSA модуліне қарағанда жақсы жауап етеді.

Не таңдасаңыз да, бір нақты қосылыммен сынап көріңіз және қол алысудың қанша уақыт алатынын қадағалаңыз, тек соңында қосыла ма, жоқ па — оны ғана емес. Он екі секундта сәтті болатын қосылымның тамыр себебі он бесте сәтсіз болатын қосылыммен бірдей.

Қайта құру оны жоя алмас үшін таңдауды жазып қойыңыз

Параметр файлын конфигурацияны басқару астында ұстаңыз және қасына өлшемді, себебін және күнін жазыңыз. Өз әдепкілерін үнсіз жасайтын қайта құрылған сервер — сол қатенің алты айдан кейін қайтып келуінің жолы, ал ешкім алғашқы шешімді түсіндіре алмайды.

Сол ақпаратты соңғы нүкте мен профильдің қасына жазыңыз, шолу оны файл өлшемінен қайта құруға мәжбүр болмас үшін. Келесі қосылым тоқырағанда, сол жазба бес минуттық тексеру мен жаңа тергеу арасындағы айырма. Ол сондай-ақ келесі инженерге баяу жағдайды жылдамға арналған түзетумен шешуге жол бермейді.