DH файлыбы же tls-auth ачкычыбы? Эки OpenVPN файлын ажыратуу

Эки файл, эки директива жана экөөнү тең алар жөндөгөн нерсенин аты менен атоо адаты. Ошентип dh.pem tls-auth сабына түшүп, кардар күтүлбөгөн ачкыч форматы тууралуу билдирүү менен ишке ашпай калат. Алдыңыздагы чечим кайсы файл күчтүүрөөк дегенде эмес. Ал — жайылтууга чынында кайсы роль керек, жана аны үч шарт чечет: сиздин TLS стекиңиз кайсы ачкыч алмашууну сүйлөшөт, башкаруу каналынын аутентификациясын каалайсызбы, жана материал сыр катарында калышы керекпи.

Аларга тартиби менен жооп бериңиз, файл жөнүндөгү суроо өзү чечилет. Аларды өткөрүп кетсеңиз, директива аттары бирин-бирин алмаштыргандай көрүнө баштайт, ал эми ката так ушул абалдан келип чыгат.

Файл атынан мурун белгини окуңуз

Файлдын биринчи сабы атынан көбүрөөк маалымат берет, анткени ат — адамдык конвенция, ал эми белгини курал жасайт. Diffie-Hellman параметрлери BEGIN DH PARAMETERS PEM белгисин алып жүрөт. OpenVPN статикалык ачкычы таптакыр башка түзүлүш, өзүнүн аталышы жана он алтылык жүгү бар.

Кайра атоо эч нерсени айландырбайт. ta.key деп аталган параметр файлы дагы эле параметрлер, ал эми dh.pem деп аталган статикалык ачкыч дагы эле статикалык ачкыч; талдоочу мазмунду окуп, дал келбестикти четке кагат. Профилди оңдоодон мурун текшериңиз:

head -n 1 dh.pem
head -n 1 ta.key

Кайсы файл керек экенин аныктаган үч шарт

Биринчи шарт — алмашуу. Чектүү талаанын Diffie-Hellman кол алышуусуна топ керек, ал эми dh директивасы — сервер ага параметрлерди ат койгон жер. Эллипс ийри сызыгынын кол алышуусуна ал файл такыр керек эмес, анткени ийри сызык өзү параметрлер жыйындысы. Эгер сервериңиз ECDHE топтомдору менен гана сүйлөшсө, DH файлы кошумча күч эмес, өлүк жүк.

Экинчи шарт — башкаруу каналынын аутентификациясы, өз материалы бар өзүнчө функция. tls-auth файлы эки тарап тең кармаган жалпы статикалык ачкыч, ал башкаруу каналынын пакеттерине кол коюу үчүн колдонулат, ошондуктан аутентификацияланбаган тарап кол алышууну да бүтүрө албайт. Чектүү талаанын DH колдонсоңуз да, колдонбосоңуз да ал бар, жана топ параметрлерине тиешеси жок.

Үчүнчү шарт — сырдуулук жана таратуу. DH параметрлерин сессияны алсыздатпай эле жарыялоого болот, анткени сыр маанилер ар бир кол алышууга жаралат жана тараптардан эч качан чыкпайт. Статикалык ачкычты жарыялоого болбойт: ал эки учунда бирдей байт, өзүнөн өзү алмашпайт, жана аны кармаган ар ким башкаруу каналынын жарактуу кол тамгаларын жарата алат. Бул эки жооп таптакыр башка мамиле эрежелерине көрсөтөт, ошондуктан бир файл кампада тура алат, экинчиси туралбайт.

Ар бир роль үчүн туура материал жаратыңыз

Директива күткөн форматты өндүргөн куралды колдонуңуз, алардын ортосунда айландыруунун ордуна. OpenVPN 2.6дагы жалпы ачкыч үчүн генератордун типтелген түрү максатты ачык айтат.

openvpn --genkey tls-auth ta.key

Бул буйрук жаңы сырдык материал жаратат; ал бар ачкычты оңдобойт жана текшербейт, ал эми кайра иштетүү башка тараптарда жок башка ачкыч берет. Алынган файлды ага муктаж тараптарга кандайдыр бир жалпы сыр үчүн колдоно турган канал аркылуу көчүрүңүз жана багыт конвенциясын ырааттуу кармаңыз: tls-auth учурда бир тарап key-direction 0, экинчиси key-direction 1 колдонот.

DH параметрлери керек болгондо параметр генерациясынан келет, ачкыч генераторунан эмес, жана натыйжа ачык болсо да алардын келип чыгышы маанилүү. Белгисиз булактан алынган топ ачык болгону үчүн ишенимдүү боло албайт; ал дагы эле тараптарыңыз келишкен жана көлөмү же түзүлүшү алсыздатпаган топ болушу керек.

dh none эмнени билдирет жана эмнени билдирбейт

dh none тар маанидеги чыныгы директива: чектүү талаанын параметр файлы жүктөлбөйт, анткени кол алышуу эллипс ийри сызыгынын Diffie-Hellman-ын колдонот. Ал бир нерсени алсыздатуу маанисинде «DH кадамын өткөрүп жибер» деген кыскартуу эмес жана OpenVPNге башка файлды алмаштыргыч катары кабыл алууну такыр айтпайт.

Туура эмес окуудан эки ката келип чыгат. Биринчиси — dh none tls-auth муктаждыгын жоёт деп ойлоо, ал эми экөө ар башка нерселерди башкарат. Экинчиси — ийри сызык гана конфигурациясынын жанында эскирген dh сабын кармап, анан сервер чындыгында кайсы файлды колдонуп жатат деп таң калуу; директива болсо, файл окулат, жана ал жердеги бузулган жол сүйлөшүлө турган алмашууга тиешеси жок себептен иштетилүүнү ишке ашырбайт.

Эгер туура эмес файл мурун эле жайылтылган болсо

Профиль ээсинен көздөлгөн сырды калыбына келтириңиз жана ошол убакта сертификат текшерүүгө тийбеңиз. Ишке ашпоо — формат дал келбестиги, ишенимдин ишке ашпоосу эмес, ал эми катаны айланып өтүү үчүн текшерүүнү өчүрүү иштетилүү көйгөйүн үнсүз көйгөй менен алмаштырат.

Анан адамдар бириктирүүгө ынтымактуу эки окуяны бөлүңүз. DH параметр файлын жарыялоо дээрлик зыянсыз, анткени параметрлер долбоор боюнча ачык эле. tls-auth ачкычын ашкере кылуу — башка окуя: ачкыч аны кармаган ар бир тарап үчүн башкаруу каналынын пакеттерин аутентификациялайт, ошондуктан алмаштыруу бир хостко эмес, бүт жайылтуу боюнча шайкештештирилиши керек.

Беш мүнөттүк текшерүү кайсы учурда экениңизди чечет: ар бир файлдын биринчи сабын окуңуз, ага шилтеме кылган директиваны ырастаңыз жана файлдын таралышы материалдын талабына туура келерин ырастаңыз. Бул иштеп турган PKIни кайра жаратуудан кичирээк иш, жана үч шарт ушуга эле көрсөтүп турган.