auth digest қандай OpenVPN пакеттерін қорғайды?
auth параметрі профиль меңзегеннен азырақ қамтиды. Digest саясатын белгілеу алдында арнаны, AEAD жағдайын және басқару арнасының қорғанысын қарап шығыңыз.
OpenVPN digest-тері туралы даулардың көбісі дұрыс емес пакеттен басталады. auth SHA256 дегенді «тек SHA256 ұсынатын серіктестерді қабылда» деп оқу — ең бірінші ұмыту керек нәрсе. Параметр белгілі бір пакеттер үшін digest атайды, ал ол пакеттердің қайсысы екені арнаға және сол арнаның AEAD болуына байланысты. Төмендегі төрт сұрақты ретімен қарап шығыңыз; әрқайсысы бұл параметрдің сіздің орналастыруыңызда қандай мағына бере алатынын тарылтады.
Параметр қорғауға тиіс арнаны атаңыз
OpenVPN байланысында TLS қол алысу трафигін тасымалдайтын басқару арнасы және туннель жүктемесін тасымалдайтын деректер арнасы бар. auth digest екеуінде де рөл атқарады, бірақ бірдей емес, және профиль айырмашылықты сирек көрінетін етеді. Конфигурация файлына қол тигізбес бұрын екеуінің қайсысын шектегіңіз келетінін жазып алыңыз.
Төмендегі кесте — сол параметрдің әр контексте қалай орналасатынының қысқа нұсқасы.
| Context | What the auth digest does |
|---|---|
| Data channel without AEAD | Selects the HMAC digest that authenticates each data packet |
| Data channel with AEAD, such as GCM | Unused for the data channel; the cipher authenticates its own packets |
| Control channel protected by tls-auth | Selects the HMAC digest for that protection, even when data is AEAD |
Оған сенбес бұрын деректер арнасының AEAD екенін тексеріңіз
Егер келісілген деректер шифрі AES-GCM немесе CHACHA20-POLY1305 болса, деректер арнасы өзін өзі аутентификациялайды және бөлек digest сіз ойлаған жұмысты атқармайды. Екеуі де AEAD құрылымдары, сондықтан тұтастық жүктемені шифрлайтын сол операция арқылы жасалады. Бұл деңгейдің төмендеуі емес, бірақ «әр деректер пакеті HMAC-SHA256» деп негізделген саясат сол туннельде іс жүзінде қате екенін білдіреді. Саясатты қайта жазбас бұрын келісілген мәнді сервер журналында немесе клиент күйінің шығысында растаңыз.
Профильдегі тізімнен гөрі нақты келісілген шифрді тексеріңіз, өйткені келіссөз жиынтықтың басқа мүшесіне түсуі мүмкін. data-ciphers AES-256-GCM:AES-128-GCM — келіссөз тізімі, және екі жазба да AEAD, сондықтан олардың ешқайсысы жүктеме қорғанысы үшін auth digest-ін жұмсамайды.
Басқару арнасының қорғанысын жеке шешім ретінде қарастырыңыз
tls-auth басқару арнасының пакеттеріне HMAC қосады және digest-ін auth параметрінен алады, сондықтан AEAD туннелінде де мағыналы digest конфигурациялануы мүмкін. tls-crypt — өз қорғанысы бар басқа орналасу, сондықтан ол tls-auth-тың әр қасиетін мұраға алады деп ойламаңыз. Болжамдарды олардың арасында көшіруге емес, таңдаған механизміңіздің құжаттамасын оқыңыз.
Екі серіктес орналасу мен кілт бағыты туралы да келісуі керек. Сәйкес келетін digest, бірақ дұрыс емес бағытта қолданылған кілт файлы digest параметрі түсіндіре алмайтын себептермен сәтсіз аяқталатын қол алысуды тудырады.
auth-ты шифр келіссөзінен және сертификаттардан бөлек ұстаңыз
Үш параметр үнемі шатастырылады: auth digest, деректер шифрлерінің тізімі және сертификаттың қолтаңба алгоритмі. Біріншісін өзгерту сертификатты қайта бермейді, оның қолтаңба digest-ін таңдамайды және пайдаланушы-құпиясөз әдісін жасамайды. Протокол параметрлерінің анықтамалары OpenVPN 2.6 көздерінде әрқайсысын өз бөлімінде сипаттайды, бұл олардың тәуелсіз тетіктер екенін ескертетін пайдалы жадынама.
Digest өзгергеннен кейін серіктес қосылудан бас тартса, себебі әдетте қалған екі параметрдің біріндегі сәйкессіздік. Кез келгенін өзгерту алдында екі жақты оқыңыз.
Саясатты жазыңыз және оны жұмыс істеп тұрған конфигурациялармен салыстырыңыз
Флот деңгейіндегі мәлімдеме рұқсат етілген деректер арнасы режимдерін және таңдалған басқару арнасы қорғанысын бір сөйлемде анық атауы керек. Бұл сөйлем тексеріле алады; «біз SHA256 қолданамыз» — жоқ. Содан кейін оны қоймадағы үлгімен емес, нақты сервер және клиент профильдерімен салыстырыңыз.
Әр туннельдің нақты нені келіскенін және оның пакеттерін қай механизм аутентификациялағанын жазып, аяқтаңыз. Профильдегі көрінетін auth жолы тек конфигурация ниетінің дәлелі, ал ниет тексерудің ең арзан бөлігі.