opt-verify қосу OpenVPN шифр қатесін неге түзетпейді

Сізге opt-verify қосу туралы ұсыныс кездеседі, жолды қосасыз, ал шифр қатесі дәл бұрынғы орнында қалады. Бұл нәтиже болжамды, өйткені опция ешқашан шифр туралы келіссөз жүргізген емес. Бұл опциялар жүйелілігін тексеру еді, 2.6-да ескірген және 2.7-де жойылған, және онымен әлі талданатын профиль бұнымен ештеңе мәжбүрлемеді.

Жолдың бұрын не істегенін білу пайдалы, оны жетіспейтін бөлік деп қорытындыламас бұрын. Тарих оның қазір неге көмектесе алмайтынын да түсіндіреді.

Опция бұрын нені мәжбүрлейтін

2.6 нұсқаулығы opt-verify-ны ескірген деп белгілейді және бұрынғы мінез-құлықты сипаттайды: сервер жарияланған опциялары өзінің опцияларына сәйкес келмейтін клиенттерді тастайды, құрылғы түрі мен MTU сияқты нәрселерді салыстырады. Бұл тексеру опциялар жүйелілігін тексерудің қосулы қалуына да байланысты, сондықтан disable-occ-пен жұмыс істейтін серверде ол бастапқыда болмаған. Салыстырудың неден құралғанына назар аударыңыз: қарсы тараптың конфигурациясын сипаттайтын мәтін. Ол деректер арнасы қандай шифрді пайдаланатыны туралы ештеңе айтпайды.

Бұл флагтың шифр қатесін жөндей алмауының бірінші себебі. Шифр таңдауы data-ciphers саясатымен және екі тарап та қолдайтын нәрсемен реттеледі, ал мәтіндік жүйелілік тексеруі бұл тізімді кеңейтпейді де, келіссөзді де жүргізбейді. Екінші себеп — ауқым: тексеру жарияланған опциялардың үйлесімді көрінетіні туралы, нәтижесінде пайда болатын жолдың сапасы туралы емес.

2.7 жолды көргенде не істейді

2.7-де опция жоқ. Талдағыш әлі де атауды таниды, сондықтан ескі профиль синтаксистік қатесіз жүктеледі және опцияның жойылғанын хабарлайды, оны үнсіз өткізіп жібермейді. Атауды тану мен мінез-құлықты мәжбүрлеу әртүрлі нәрселер, және әзірге тек біріншісі орын алады. Жою жазбалары себебін береді: параметрлер туралы келіссөз жүргізу мүмкін болған соң, екі тарап байланыс туралы келісе отырып, заңды түрде әртүрлі опция жолдарына ие бола алады.

Сондықтан талданатын профиль қандай да бір қабылдау тексерісінің орындалғанына дәлел емес. Егер жалғыз сигналыңыз клиенттің қосылғаны болса, сіз синтаксистің қабылданғанын білдіңіз.

Ақау шын мәнінде қайда тұрады

Бірдеңені өзгертуден бұрын бірінші нақты қатені сақтаңыз, өйткені кейінгі хабарламалар әдетте оның салдары. Деректер арнасының келіссөз ақауы бекітілген шифр саясатына және екі тарап нақты жариялайтын мүмкіндіктерге жатады. TLS нұсқасы немесе жиынтығы ақауы басқару арнасына жатады. Сертификаттан бас тарту сәйкестік пен сенім тізбегін қажет етеді, үйлесімділік флагын емес.

Екі ұштағы қозғалтқышты да анықтаңыз. Жұмыс үстелі қолданбасы сынаған пәрмен жолының бинарлық файлынан басқа құрастырманы қамтуы мүмкін, ал опцияларды қолдау олардың арасында ерекшеленеді. Профиль импорттайтын әрбір бағдарлама бірдей әрекет етеді деп болжаудың орнына сол қозғалтқыштың құжаттамасын қараңыз.

Жолды ғана емес, ниетті де ауыстырыңыз

Егер ескі басқарылатын сервер шынымен жүйелілік тексеруіне сүйенсе, жаңарту алдында ол қандай шектеуді мәжбүрлегенін жазып қойыңыз. Жаңарақ профильде елемейтін опцияны сақтау бұл саясатты сақтай алмайды, жолдарды ретсіз жою да оны сақтай алмайды.

Барлық шифр өшірілген деген ескі ұсынысқа барлық тарихи алгоритмді қосу арқылы жауап бермеңіз.

Бекітілген түзетуден кейін жаңа қосылымда келісілген нәтижелерді қарап шығыңыз және пайдаланушыға шынымен қажет қолданбаны сынаңыз. Сервер нұсқасы мен әрекетті саясатты сол нәтиженің қасында ұстаңыз, сонда келесі адам тек қабылданғанды емес, келісілгенді көреді.

Мақсат — қолдау тапқан шектеу және жұмыс істейтін аутентификацияланған жол, әлі талданатын ескірген флаг емес.