Ийгиликсиз VPN кол алышуу чын эле төмөндөтүү чабуулубу?

Ката менен бүткөн кол алышуу чабуулдай сезилет, билдирүүгө көнбөйүнчө, жана көбүнчө бул арифметика: жалпы сунуш жок, сертификаттын мөөнөтү өткөн же пакет эч качан келген эмес. Төмөндөтүү чабуулу так нерсе: каршылаш эки тарапты өздөрү тандай тургандан алсыз жүрүм-турумга түртөт жана башка далилдерди калтырат. Ар бир ийгиликсиздикти кастык деп эсептөө сизди болбосо да боло турган курмандыкты издөөгө жиберет, ал эми чыныгы төмөндөтүүнү конфигурация катасы деп эсептөө алсыз натыйжаны ордунда калтырат. Бул эки катанын баасы башка, жана бирөөнү гана арзан оңдоого болот.

Төмөндөтүү чабуулу чындыгында эмнени өзгөртөт

Максат шифрди бузуу жана ачкычты болжолдоо эмес. Максат сүйлөшүүгө таасир этип, эки тарап чабуулчу көтөрө ала турган эскирээк версияга же алсыз алгоритмге токтошу, же бир тарап экинчиси ушунү гана колдойт деп ишенүүсү.

Өзгөргөн нерсе — макулдашуу, аутентификация эмес. Эгер чабуулчу сунушту байкалбастан өзгөртө алса, тараптар кол алышууну бүтүрүп, бири-бирин аутентификациялай алышат, бирок чабуулчуга жаккан параметрлер менен. Ошондуктан кызыктуу суроо — сүйлөшүүнүн өзү бүтүндүк коргоосу менен камтылганбы.

Эмне үчүн сүйлөшүүнүн өзү аутентификацияланышы керек

TLS 1.3 бул коргоону айкын кылат. Жаңы версияны сунуштаган кардар үнсүз артка чекинген серверди аныктай алат, анткени сервердин кокустук мааниси 1.2 же андан төмөн сүйлөшкөндө туруктуу үлгү алып жүрөт, жана кардар аны көргөндө токтоого милдеттүү. Толук транскрипт да акыркы билдирүүлөр менен кампылган, ошондуктан сүйлөшүүнүн каалаган жериндеги өзгөртүү кийинчерээк ийгиликсиз болот, үнсүз өтпөйт.

Эски протокол версияларынын окуялары алсызыраак болгон, жана дал ошондуктан артка чегинүү эрежелери маанилүү. Ошол эле конфигурациядагы TLS 1.0 акыркы чекити төмөндөтүү чабуулу эмес; бул сиз уруксат берүүнү тандаган уруксат берилген натыйжа. Айырма — алсыз натыйжа корголгон чечимденби же ортомчу таасир эте алган корголбогон жолдонбу келди. Ушундайча айтсаңыз, окуялардын көбү конфигурация суроосуна айланат.

IKEv2 башкача жүрөт, бирок ошол эле идеяга таянат. Сунуш кийин эки тарапты аутентификациялаган алмашууда ташылат, ошондуктан алгоритмдерди кайра жазган орто түзмөк аутентификацияны багыттабай, бузат. OpenVPN башкаруу каналы сүйлөшүүсүн TLS менен коргоп, анан ошол канал менен маалымат каналынын шифрлерин макулдашат, ошондуктан башкаруу каналынын журнал сабы кызыктуу.

Конфигурацияланган шайкештик чабуул эмес

Администратор документтелген кардарды колдоо үчүн эски тандоолорго атайын уруксат бере алат, жана бул чечим конфигурацияда көрүнөт. Чабуулчу мындай конфигурация түзө албайт; ал сунушка таасир этүүгө мүмкүндүк берген жолду гана пайдалана алат.

Кооптуу оңдоо — айырманын далилин жок кылган оңдоо. Бардык мурас опцияларды күйгүзүү, сертификат текшерүүнү өчүрүү же катаны жок кылуу үчүн каалаган шифрди кабыл алуу акыркы чекит макулдаша турган аймакты кеңейтет жана алсыз натыйжа жөнүндө билдире турган текшерүүлөрдү алып салат.

Бир эски опцияны сактоо керек болсо, себебин жана кардарды конфигурация комментарийинде жазыңыз, анан опцияны ага муктаж профил менен чектеңиз. Бир угуучуга чектелген шайкештик өзгөчөлүгү текшериле алат; глобалдык колдонулганы — эч ким аны тандаганын эстебеген алсыз демейки маани гана.

Себеп атаганга чейин ийгиликсиздикти окуңуз

Ар кандай өзгөртүүгө чейин так ката сабын, кардар менен сервердин версияларын жана убакытты сактаңыз. Анан классификациялаңыз: тараптар сунуш боюнча макулдашпадыбы, пакет жолу ийгиликсиз болдубу, же бир тарап мурун кабыл алган параметрди четке кактыбы?

Сунуштун дал келбестиги адатта күнөөлүү версияларды же алгоритмдерди атайт жана ар жолу ошол эле чекитте ийгиликсиз болот. Маршруттоо же MTU маселеси токтойт же убакыт бүтөт, жана көбүнчө тармакка жараша өзгөрөт. Мөөнөтү өткөн сертификат сүйлөшүү эмес, текшерүү катасын берет.

Булардын эч бири чабуулчунун далили эмес. Биринчи ийгиликсиздикте кастык себеп тагуу — ката, анткени эртең кайра ийгиликсиз боло турган детерминдүү катаны жашырат.

Чындыгында эмне тандалганын ырастаңыз

Ар кандай оңдоодон кийин байланыш көтөрүлдү деп ишенүүнүн ордуна макулдашылган натыйжаны окуңуз. Текшерүү алынып салынгандыктан ийгиликтүү болгон байланыш — сиз качкан натыйжа. Төмөнкү эки буйрук TLS алдындагы акыркы чекиттин тандалган версиясын жана шифрин, ошондой эле OpenVPN сервер журналынан башкаруу каналынын сабын көрсөтөт.

openssl s_client -connect 198.51.100.30:443 -servername vpn.example.net -brief </dev/null
grep -iE 'Control Channel|Data Channel' /var/log/openvpn.log | tail -5

Натыйжаны азыр туташып жаткан нерсе менен эмес, көздөгөн конфигурацияңыз менен салыштырыңыз. Эгер тандалган версия уруксат берилген минимумдан эски болсо, профиль же артка чегинүү тизмеси каралуучу жер, жана жооп — ошол тизмени оңдоо, чабуул жарыялап, айланадагынын баарын кайра куруу эмес.