8192-ಬಿಟ್ ಕೀಗಳು ಹ್ಯಾಂಡ್ಶೇಕ್ ಅನ್ನು ನಿಲ್ಲಿಸುತ್ತವೆ; 1024-ಬಿಟ್ DH ತಿರಸ್ಕರಿಸಲ್ಪಡುತ್ತದೆ

ಒಂದು ಸರ್ವರ್ನಲ್ಲಿ ಕ್ಲೈಂಟ್ಗಳು ಸ್ವಲ್ಪ ಸಮಯ ನಿಲ್ಲುತ್ತವೆ ಮತ್ತು ನಂತರ ಮತ್ತೆ ಸಂಪರ್ಕಿಸುತ್ತವೆ, ಇನ್ನೊಂದು ಕೀಯ ಗಾತ್ರದ ಬಗ್ಗೆ ಸಂದೇಶದೊಂದಿಗೆ ಸಂಪರ್ಕಗಳನ್ನು ತಕ್ಷಣ ತಿರಸ್ಕರಿಸುತ್ತದೆ. ಅವು ಬೇರೆ ಬೇರೆ ದೋಷಗಳಂತೆ ಕಾಣುತ್ತವೆ ಮತ್ತು ವಿರುದ್ಧ ದಿಕ್ಕುಗಳಿಗೆ ತೋರಿಸುವ ಅದೇ ದೋಷ. ಹ್ಯಾಂಡ್ಶೇಕ್ ಗೂಢಲಿಪೀಕರಣಕ್ಕೆ ಪ್ಯಾರಾಮೀಟರ್ ಗಾತ್ರದೊಂದಿಗೆ ಬೆಳೆಯುವ ವೆಚ್ಚವಿದೆ, ಮತ್ತು ಆಧುನಿಕ ಗ್ರಂಥಾಲಯಗಳು ಕೆಳಗೆ ಹೋಗದ ಕನಿಷ್ಠ ಮಿತಿಯೂ ಇದೆ. ವಸ್ತುವಿನ ಗಾತ್ರವನ್ನು ನಿರ್ಧರಿಸುವುದೇ ಪರಿಶೀಲನಾ ಪಟ್ಟಿ, ಮತ್ತು ಮೊದಲ ಅಂಶ ಎರಡು ದೋಷಗಳಲ್ಲಿ ಯಾವುದು ನಿಮ್ಮಲ್ಲಿ ನಿಜವಾಗಿದೆ ಎಂಬುದನ್ನು ನಿರ್ಧರಿಸುವುದು.

ಏನನ್ನಾದರೂ ಮರುರೂಪಿಸುವ ಮೊದಲು ವೈಫಲ್ಯವನ್ನು ಓದಿ

ಸಮಯವು ಅದರ ಬಹುಪಾಲನ್ನು ನಿಮಗೆ ಹೇಳುತ್ತದೆ. ಕೆಲವು ಸೆಕೆಂಡುಗಳನ್ನು ತೆಗೆದುಕೊಂಡು ನಂತರ ಸಾಯುವ ಹ್ಯಾಂಡ್ಶೇಕ್ ಸಾಮಾನ್ಯವಾಗಿ ಲೆಕ್ಕಾಚಾರವು ಎದುರು ಬದಿಯ ತಾಳ್ಮೆಯನ್ನು ಮೀರಿದೆ ಎಂದು ಅರ್ಥ, ಇದು ಹಾರ್ಡ್ವೇರ್ ಅಥವಾ ಕಾಲಾವಧಿಗೆ ತುಂಬಾ ದೊಡ್ಡ ಪ್ಯಾರಾಮೀಟರ್ಗಳನ್ನು ಸೂಚಿಸುತ್ತದೆ. ಕೀ ಅಥವಾ ಗುಂಪಿನ ಗಾತ್ರವನ್ನು ಹೆಸರಿಸುವ ತಕ್ಷಣದ ತಿರಸ್ಕಾರವು ಇನ್ನೊಂದು ದಿಕ್ಕಿಗೆ, ಗ್ರಂಥಾಲಯವು ಎಂದಿಗೂ ಸ್ವೀಕರಿಸದ ವಸ್ತುವಿನತ್ತ ಸೂಚಿಸುತ್ತದೆ.

ಈ ಎರಡಕ್ಕೂ ವಿರುದ್ಧ ತಿದ್ದುಪಡಿಗಳು ಬೇಕು, ಮತ್ತು ಇಲ್ಲಿಯೇ ಹೆಚ್ಚಿನ ಪ್ರಯತ್ನಗಳು ತಪ್ಪಾಗುತ್ತವೆ. ಈಗಾಗಲೇ ಸಣ್ಣ ಗುಂಪನ್ನು ತಿರಸ್ಕರಿಸಿದ ಕ್ಲೈಂಟ್ನಲ್ಲಿ 8192-ಬಿಟ್ ಪ್ಯಾರಾಮೀಟರ್ಗಳನ್ನು ಮರುರೂಪಿಸುವುದು ನಿಧಾನ ಪ್ರಕರಣವನ್ನು ಹೆಚ್ಚು ಕೆಡಿಸುತ್ತದೆ, ವೇಗದ ಪ್ರಕರಣಕ್ಕೆ ಏನೂ ಮಾಡುವುದಿಲ್ಲ. ಫೈಲ್ ಮುಟ್ಟುವ ಮೊದಲು ನೀವು ಯಾವ ಲಕ್ಷಣವನ್ನು ನೋಡಿದಿರಿ ಎಂದು ಬರೆದಿಡಿ.

ನಂತರ ಎದುರು ಬದಿಯಿಂದ ಏನು ಕೇಳಲಾಗುತ್ತದೆ ಎಂದು ಪರಿಶೀಲಿಸಿ. ದೊಡ್ಡ ಸೀಮಿತ-ಕ್ಷೇತ್ರ ಗುಂಪಿಗೆ ಸಂರಚಿಸಲಾದ ಸರ್ವರ್ ಪ್ರತಿ ಕ್ಲೈಂಟ್ ಅನ್ನು ಸಂಪರ್ಕದ ಸಮಯದಲ್ಲಿ ಮಾತ್ರವಲ್ಲ, ಪ್ರತಿ ಮರು ಮಾತುಕತೆಯಲ್ಲೂ ಅದೇ CPU ಸಮಯವನ್ನು ಖರ್ಚು ಮಾಡಲು ಒತ್ತಾಯಿಸುತ್ತದೆ. ಸಮಸ್ಯೆ ಆರಂಭದಲ್ಲಿ ಬದಲು ನಿಯಮಿತ ಮಧ್ಯಂತರದಲ್ಲಿ ಕಾಣಿಸಿಕೊಂಡರೆ, ಆ ಮಧ್ಯಂತರವು ಯಾವ ಸೆಟ್ಟಿಂಗ್ ದುಬಾರಿ ಎಂಬುದಕ್ಕೆ ಬಲವಾದ ಸುಳಿವು. ಮರು ಮಾತುಕತೆ ಇಡೀ ಲೆಕ್ಕಾಚಾರವನ್ನು ಪುನರಾವರ್ತಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಪ್ರತಿ ಗಂಟೆಗೆ ಮರಳುವ ನಿಲುಗಡೆ ಸಾಮಾನ್ಯವಾಗಿ ಅದೇ ವೆಚ್ಚವನ್ನು ಮತ್ತೆ ಪಾವತಿಸುವುದು.

ನಿಧಾನ ಪ್ರಕರಣ: ಹಾರ್ಡ್ವೇರ್ ಹೊರಲಾರದ ವಸ್ತು

Diffie-Hellman ಮತ್ತು RSA ಕೆಲಸವು ಕೀಯ ಗಾತ್ರದೊಂದಿಗೆ ವೇಗವಾಗಿ ಬೆಳೆಯುತ್ತದೆ, ಮತ್ತು ಇದೆಲ್ಲವೂ ಸುರಂಗದಲ್ಲಿ ಯಾವುದೇ ಸಂಚಾರ ಹರಿಯುವ ಮೊದಲೇ ಸಂಭವಿಸುತ್ತದೆ. ಸಣ್ಣ ರೌಟರ್ ಅಥವಾ ಕಡಿಮೆ ಶಕ್ತಿಯ ಕ್ಲೈಂಟ್ನಲ್ಲಿ ಸಾಕಷ್ಟು ದೊಡ್ಡ ಗುಂಪು ವಿನಿಮಯವನ್ನು ಇನ್ನೊಂದು ಬದಿಯ ಕಾಲಾವಧಿಯ ಆಚೆಗೆ ತಳ್ಳಬಹುದು, ಆಗ ಸಂಪರ್ಕವು ಮತ್ತೆ ಪ್ರಯತ್ನಿಸುತ್ತದೆ ಅಥವಾ ಯಾವುದೇ ದೋಷವಿಲ್ಲದೆ ನಿಂತಂತೆ ಕಾಣುತ್ತದೆ.

ಪರಿಹಾರವೆಂದರೆ ಪ್ರತಿ ಎದುರು ಬದಿಯು ಬೆಂಬಲಿಸುವ ಮತ್ತು ಪ್ರತಿ ಸಾಧನವು ಆರಾಮವಾಗಿ ಲೆಕ್ಕ ಹಾಕಬಹುದಾದ ಗಾತ್ರಕ್ಕೆ ಇಳಿಯುವುದು. 2048-ಬಿಟ್ RSA ಕೀ ಮತ್ತು 2048-ಬಿಟ್ ಗುಂಪು ವಿಶಾಲವಾಗಿ ಹೊಂದಿಕೊಳ್ಳುವ ಆಧಾರರೇಖೆಯಾಗಿ ಉಳಿಯುತ್ತವೆ; ದೊಡ್ಡದು ಎಲ್ಲಾ ಬದಿಗಳು ಒಪ್ಪಿದಾಗ ಮತ್ತು ಪ್ರೊಸೆಸರ್ ಪ್ರತಿ ಮರು ಮಾತುಕತೆಯಲ್ಲಿ ಅದನ್ನು ಪಾವತಿಸಬಲ್ಲಾಗ ಮಾತ್ರ ಸಹಾಯ ಮಾಡುತ್ತದೆ. ಆ ಆಧಾರರೇಖೆಯ ಮೇಲಿನ ಎಲ್ಲವೂ ಉದ್ದೇಶಪೂರ್ವಕ ವಿನಿಮಯ, ಅಪ್ಗ್ರೇಡ್ ಅಲ್ಲ.

ಗಾತ್ರವು ಅಂಕಗಳಲ್ಲ, ಮತ್ತು ಹೋಲಿಕೆ ಕೋಷ್ಟಕದ ದೊಡ್ಡ ಸಂಖ್ಯೆ ಸ್ವಯಂಚಾಲಿತವಾಗಿ ಸರಿಯಾದ ಆಯ್ಕೆಯಲ್ಲ. ನಿಮ್ಮ ನೀತಿ ಅನುಮತಿಸುವ ಮತ್ತು ಎಲ್ಲಾ ಎದುರು ಬದಿಗಳು ಸ್ವೀಕರಿಸುವ ಅತ್ಯಂತ ಚಿಕ್ಕ ಮೌಲ್ಯವನ್ನು ಆರಿಸಿ, ನಂತರ ಸುಧಾರಿಸಿದೆ ಎಂದು ಊಹಿಸುವ ಬದಲು ಹ್ಯಾಂಡ್ಶೇಕ್ ಅನ್ನು ಅಳೆಯಿರಿ. ಇನ್ನೂ ಕಾಲಾವಧಿ ಮೀರುವ ಚಿಕ್ಕ ಗುಂಪು ಗಾತ್ರವು ಎಂದಿಗೂ ಇಡೀ ಕಥೆಯಾಗಿರಲಿಲ್ಲ ಎಂದು ಹೇಳುತ್ತದೆ.

ವೇಗದ ಪ್ರಕರಣ: ಗ್ರಂಥಾಲಯ ತಿರಸ್ಕರಿಸುವ ಗುಂಪು

ಆಧುನಿಕ OpenSSL ಬಿಲ್ಡ್ಗಳು ಅತ್ಯಂತ ಚಿಕ್ಕ ಸೀಮಿತ-ಕ್ಷೇತ್ರ ಗುಂಪುಗಳನ್ನು ನೇರವಾಗಿ ತಿರಸ್ಕರಿಸುತ್ತವೆ, ಮತ್ತು ಹೆಚ್ಚಿಸಿದ ಭದ್ರತಾ ಮಟ್ಟವು ಕನಿಷ್ಠ ಮಿತಿಯನ್ನು ಇನ್ನಷ್ಟು ಮೇಲಕ್ಕೆ ತಳ್ಳುತ್ತದೆ. ದಶಕಗಳಷ್ಟು ಹಳೆಯ ಪ್ಯಾರಾಮೀಟರ್ ಫೈಲ್ ಅನ್ನು ಹೊತ್ತು ತರುವ ರೌಟರ್ ಫರ್ಮ್ವೇರ್ ಸಾಮಾನ್ಯ ಮೂಲ, ಮತ್ತು ಲಕ್ಷಣವೆಂದರೆ ಗುಂಪು ಅಥವಾ ಕೀಯ ಗಾತ್ರವನ್ನು ಹೆಸರಿಸುವ ಸಂದೇಶದೊಂದಿಗೆ ತಕ್ಷಣ ವಿಫಲವಾಗುವ ಸಂಪರ್ಕ. ಆ ವೈಫಲ್ಯದಲ್ಲಿ ಯಾವುದೂ ಮಧ್ಯಂತರವಲ್ಲ, ಮತ್ತು ಅದೇ ಅದನ್ನು ಸುಲಭವಾಗಿ ಗುರುತಿಸಲು ಸಾಧ್ಯವಾಗಿಸುತ್ತದೆ.

ಪರಿಶೀಲನೆಯನ್ನು ಬಿಟ್ಟುಬಿಡಲು ಸಂರಚನೆಯನ್ನು ಸಂಪಾದಿಸುವ ಬದಲು ಫೈಲ್ ಅನ್ನು ಬದಲಾಯಿಸಿ. ಪ್ರಸ್ತುತ ಗುಂಪನ್ನು ರಚಿಸಿ, ಅದನ್ನು ಮಾನ್ಯಗೊಳಿಸಿ, ನಂತರ ಡೀಮನ್ ನಿಜವಾಗಿ ಓದುವ ಸ್ಥಳದಲ್ಲಿ ಸ್ಥಾಪಿಸಿ. ಕ್ಲೈಂಟ್ ಹೊಸದರೊಂದಿಗೆ ಯಶಸ್ವಿಯಾಗಿ ಸಂಪರ್ಕಿಸುವವರೆಗೆ ಹಳೆಯ ಫೈಲ್ ಅನ್ನು ಇರಿಸಿಕೊಳ್ಳಿ:

openssl dhparam -out /etc/openvpn/ffdhe2048.pem 2048
openssl dhparam -in /etc/openvpn/ffdhe2048.pem -check -noout
ls -l /etc/openvpn/ffdhe2048.pem

ಪರಿಶೀಲನಾ ಆದೇಶವು ಫೈಲ್ ಅನ್ನು ಮಾನ್ಯಗೊಳಿಸುತ್ತದೆ ಮತ್ತು ಅದು ಉತ್ತೀರ್ಣವಾದಾಗ ಉಪಯುಕ್ತವಾದದ್ದನ್ನು ಮುದ್ರಿಸುವುದಿಲ್ಲ; ಪಟ್ಟಿಯು ಸೇವೆ ಲೋಡ್ ಮಾಡುವ ಫೈಲ್ ಅನ್ನು ನೀವು ಬದಲಾಯಿಸಿದ್ದೀರಿ ಎಂದು ದೃಢೀಕರಿಸುತ್ತದೆ, ಪಕ್ಕದಲ್ಲಿರುವ ಹಳೆಯ ಪ್ರತಿಯಲ್ಲ. ಸಂರಚನೆಯನ್ನು ಆ ಮಾರ್ಗಕ್ಕೆ ತೋರಿಸಿ, ಡೀಮನ್ ಅನ್ನು ಮರುಪ್ರಾರಂಭಿಸಿ, ಮತ್ತು ಮೊದಲು ವಿಫಲವಾದ ಕ್ಲೈಂಟ್ ಈಗ ಹ್ಯಾಂಡ್ಶೇಕ್ ಪೂರ್ಣಗೊಳಿಸುತ್ತದೆ ಎಂದು ದೃಢೀಕರಿಸಿ.

ಸರ್ವರ್ ಭದ್ರತಾ ಮಟ್ಟ ಅಥವಾ ಪ್ರಮಾಣಪತ್ರ ಪ್ರೊಫೈಲ್ ಅನ್ನು ಸಹ ಸೆಟ್ ಮಾಡಿದರೆ, ಗುಂಪು ತಪ್ಪಾಗಿತ್ತು ಎಂದು ತೀರ್ಮಾನಿಸುವ ಮೊದಲು ಅವುಗಳನ್ನು ಓದಿ. ಕಟ್ಟುನಿಟ್ಟಿನ ವರ್ಗ ಬೇಡುವ ಪ್ರೊಫೈಲ್ ಡೀಫಾಲ್ಟ್ ಸ್ವೀಕರಿಸುತ್ತಿದ್ದ ವಸ್ತುವನ್ನು ತಿರಸ್ಕರಿಸಬಹುದು, ಮತ್ತು ಆ ಸೆಟ್ಟಿಂಗ್ ತೆಗೆಯುವುದು ಪರಿಶೀಲನೆಯನ್ನು ಜಾಗತಿಕವಾಗಿ ನಿಷ್ಕ್ರಿಯಗೊಳಿಸುವುದಕ್ಕಿಂತ ಸಣ್ಣ ಬದಲಾವಣೆ.

ಎದುರು ಬದಿ ಮತ್ತು ಹಾರ್ಡ್ವೇರ್ಗೆ ಗಾತ್ರ ಆರಿಸಿ

ವಿಚಿತ್ರವಾದದ್ದನ್ನು ರಚಿಸುವ ಮೊದಲು ದೂರದ ತುದಿ ಏನನ್ನು ತಾಳಬಲ್ಲದು ಎಂದು ಕಂಡುಕೊಳ್ಳಿ. 2048-ಬಿಟ್ ಗುಂಪಿಗೆ ತುಂಬಾ ಹಳೆಯದಾದ ಸಾಧನವು ಬದಲಾಯಿಸಬೇಕಾದ ಸಾಧನ, ಏಕೆಂದರೆ ಸರ್ವರ್ ಅನ್ನು ದುರ್ಬಲ ಗುಂಪಿನತ್ತ ತಿರುಗಿಸುವುದು ಹೊಂದಾಣಿಕೆಯ ದೂರನ್ನು ಅಡಚಣೆಯಾಗಿ ಪರಿವರ್ತಿಸುತ್ತದೆ ಅಷ್ಟೇ. ಟಿಕಾವು ಪರಿಹಾರಗಳು ಹಳೆಯ ಪ್ಯಾರಾಮೀಟರ್ಗಳಿಗಲ್ಲ, ಹೊಸ ತಂತ್ರಾಂಶದತ್ತ ಸಾಗುತ್ತವೆ. ಈ ಕ್ಷೇತ್ರದ ಪ್ರತಿ ತಾತ್ಕಾಲಿಕ ಅಪವಾದವೂ ಶಾಶ್ವತ ಸಂರಚನೆಯಾಗುವ ದಾರಿ ಕಂಡುಕೊಳ್ಳುತ್ತದೆ.

ಸರ್ವರ್ನ CPU ಮಿತಿಯಾಗಿರುವಲ್ಲಿ ನೀತಿಯ ಕೆಳಗೆ ಇಳಿಯುವ ಬದಲು ಅಲ್ಗಾರಿದಮ್ ಬದಲಾಯಿಸಿ. X25519 ನಂತಹ ದೀರ್ಘವೃತ್ತೀಯ ವಕ್ರ ಕೀ ವಿನಿಮಯ ದೊಡ್ಡ ಸೀಮಿತ-ಕ್ಷೇತ್ರ ಗುಂಪಿಗಿಂತ ನಾಟಕೀಯವಾಗಿ ಅಗ್ಗ ಮತ್ತು ವ್ಯಾಪಕವಾಗಿ ಬೆಂಬಲಿತ, ಇದು ಚಿಕ್ಕ RSA ಮಾಡ್ಯುಲಸ್ಗಿಂತ ಕಾರ್ಯಕ್ಷಮತೆಯ ದೂರಿಗೆ ಉತ್ತಮ ಉತ್ತರವಾಗಿಸುತ್ತದೆ.

ಏನೇ ಆಯ್ಕೆ ಮಾಡಿದರೂ, ಒಂದು ನಿಜವಾದ ಸಂಪರ್ಕದಿಂದ ಪರೀಕ್ಷಿಸಿ ಮತ್ತು ಹ್ಯಾಂಡ್ಶೇಕ್ ಎಷ್ಟು ಸಮಯ ತೆಗೆದುಕೊಳ್ಳುತ್ತದೆ ಎಂದು ನೋಡಿ, ಕೊನೆಗೆ ಸಂಪರ್ಕಿಸುತ್ತದೆಯೇ ಎಂಬುದಷ್ಟೇ ಅಲ್ಲ. ಹನ್ನೆರಡು ಸೆಕೆಂಡುಗಳಲ್ಲಿ ಯಶಸ್ವಿಯಾಗುವ ಸಂಪರ್ಕಕ್ಕೆ ಹದಿನೈದರಲ್ಲಿ ವಿಫಲವಾಗುವ ಸಂಪರ್ಕದಂತೆಯೇ ಅದೇ ಮೂಲ ಕಾರಣವಿದೆ.

ಮರುನಿರ್ಮಾಣ ಅದನ್ನು ರದ್ದುಗೊಳಿಸದಂತೆ ಆಯ್ಕೆಯನ್ನು ದಾಖಲಿಸಿ

ಪ್ಯಾರಾಮೀಟರ್ ಫೈಲ್ ಅನ್ನು ಸಂರಚನಾ ನಿರ್ವಹಣೆಯ ಅಡಿಯಲ್ಲಿ ಇರಿಸಿ ಮತ್ತು ಪಕ್ಕದಲ್ಲಿ ಗಾತ್ರ, ಕಾರಣ ಮತ್ತು ದಿನಾಂಕ ಬರೆಯಿರಿ. ತನ್ನದೇ ಡೀಫಾಲ್ಟ್ಗಳನ್ನು ಮೌನವಾಗಿ ರಚಿಸುವ ಮರುನಿರ್ಮಿತ ಸರ್ವರ್ ಆ ದೋಷವು ಆರು ತಿಂಗಳ ನಂತರ ಮರಳುವ ದಾರಿ, ಯಾರೂ ಮೂಲ ನಿರ್ಣಯವನ್ನು ವಿವರಿಸಲಾಗದೆ.

ಅದೇ ಮಾಹಿತಿಯನ್ನು ಎಂಡ್ಪಾಯಿಂಟ್ ಮತ್ತು ಪ್ರೊಫೈಲ್ನ ಪಕ್ಕದಲ್ಲಿ ಬರೆಯಿರಿ, ವಿಮರ್ಶೆಯು ಅದನ್ನು ಫೈಲ್ ಗಾತ್ರದಿಂದ ಮರುನಿರ್ಮಿಸಬೇಕಾಗದಂತೆ. ಮುಂದಿನ ಸಂಪರ್ಕ ನಿಂತಾಗ, ಆ ಟಿಪ್ಪಣಿ ಐದು ನಿಮಿಷದ ಪರಿಶೀಲನೆ ಮತ್ತು ಹೊಸ ತನಿಖೆಯ ನಡುವಿನ ವ್ಯತ್ಯಾಸ. ಮುಂದಿನ ಇಂಜಿನಿಯರ್ ವೇಗದ ಪ್ರಕರಣಕ್ಕೆಂದು ಮಾಡಿದ ಪರಿಹಾರದಿಂದ ನಿಧಾನ ಪ್ರಕರಣವನ್ನು ಬಗೆಹರಿಸುವುದನ್ನೂ ಅದು ತಡೆಯುತ್ತದೆ.