OpenVPN data-ciphers маалымат каналынын шифрин кантип тандайт

Туннель көтөрүлөт, журнал шифрди көрсөтөт жана профилди карап чыгуу уланат. Андан кийин бир өнөктөшкө жаңыртуу келет жана ошол эле профиль жалпы шифр жок деген билдирүү менен ишке ашпай калат, бул адамдарды жок кылынуучу директива издетүүгө жиберет. Түшүнүүгө пайдалуу нерсе — data-ciphers жөндөөнү эмес, сүйлөшүүнү сүрөттөйт. Бир тарап тизме сунуштайт, экинчиси андан тандайт, натыйжа эки тарап тең колдогон бир алгоритм. Бул алмашууну окуу бир сапты өзгөртүүдөн мурун ушул ишке ашпоолордун көбүн түшүндүрөт.

Эки канал, эки конфигурация

Бир OpenVPN сессиясында башкаруу каналы жана маалымат каналы бар. Башкаруу каналы өнөктөштөрдү аутентификациялаган жана ачкычтарды сүйлөшкөн TLS кол алышуусун аткарат. Маалымат каналы сиздин трафигиңизди ташыган пакеттерди шифрлейт.

data-ciphers экинчисин конфигурациялайт. Башкаруу каналынын өз параметрлери бар, ал эми профилдин идентификация текшерүүлөрү — үчүнчү, өзүнчө маселе. Бирөөнү өзгөртүү экинчисин оңдобойт, ошондуктан профиль туура көрүнүп, белгилүү бир баскычта ишке ашпай калышы мүмкүн.

Конфигурация файлын окуганда бул үчөөнү өзүнчө кутучаларда кармаңыз.

Сүйлөшүүнү журналдан окуңуз

Байланыш ийгиликтүү болгондо кардар журналы эки натыйжаны тең атайт. Бир сап башкаруу каналы жана анын TLS чоо-жайы тууралуу, экинчиси тандалган маалымат каналынын шифри тууралуу билдирет.

Экөөнү тең окуңуз, анткени алар ар башка суроолорго жооп берет. Башкаруу каналынын иштен чыгышы кандайдыр бир маалымат шифри маанилүү боло электе байланышты токтотот. Маалымат каналынын дал келбестиги ийгиликтүү кол алышуудан кийин, жалпы шифр жок деген билдирүү менен көрүнөт.

Андан кийин эки тараптагы сунушталган тизмелерди салыштырыңыз. Бир өнөктөштүн версиясы же анын крипто негизи бербеген атты, ал башка өнөктөштүн тизмесинде канчалык эрте көрүнсө да, тандоого болбойт.

Тандоо чындыгында кантип жүрөт

Сервер кол алышуу учурунда өзүнүн data-ciphers тизмесин кардарга түртөт, ал эми кардар ошол тизмедеги өзү да колдогон биринчи жазууну тандайт. Ошондуктан тартип кардардын эмес, сервердин конфигурациясына таандык.

Бул деталь чаташтырган натыйжалардын бир классын түшүндүрөт. Сервердин тизмеси чечкенде кардардын тизмесин кайра иреттөө эч нерсени өзгөртпөйт. Кардар бере албаган шифрди кошуу да эч нерсени өзгөртпөйт, анткени кардар тандаган жазууну колдоно алышы керек.

Жаңы чыгарылыштар демейки тизмени өзгөртүп, аны кармаган параметрдин атын өзгөрттү, ошондуктан ар башка версиялардагы эки өнөктөш эч ким профилди редакциялабастан макулдаша албашы мүмкүн. Терүү катасы деп ойлоодон мурун ар тараптагы версияны текшериңиз.

Тизме абстракттуу мааниде күч рейтинги эмес. Бул талапкерлердин жыйындысы, ал эми тандалган — сервердин тартибинде биринчи өз ара колдоого алынган жазуу. Ошондуктан ар башка көрүнгөн эки тизме бир эле шифрди сүйлөшө алат. Ошондуктан окшош көрүнгөн эки тизме да ишке ашпай калышы мүмкүн.

Эски өнөктөштөргө атайын жасалган камдык вариант керек

Механизмден эски болгондуктан же аны өчүрүп койгондуктан такыр сүйлөшө албаган өнөктөшкө документтелген шайкештик келишими керек. Камдык параметр дал ошол учур үчүн бар жана сүйлөшүүлөргө катышпаган өнөктөштөргө колдонулат.

Бул билдирүү жоголушу үчүн ар бир эски шифрди күйгүзүү менен бирдей эмес. Кенен тизме ар бир өнөктөш үчүн сессияны алсыратат, күчтүү нерсени сүйлөшкөндөр үчүн да.

Байланышсыз алгоритм аттарын редакциялоонун ордуна эки тарапты координациялаңыз. Эгер сервер жаңыртуусу эски параметрди алып салса, оңдоо версия планына таандык, кардардагы шашылыш аракетке эмес.

Текшерүүнү бузулбаган абалда сактаңыз

Маалымат каналынын дал келбестиги текшерилбеген серверди кабыл алууга себеп эмес. Сертификатты текшерүү, күтүлгөн сервер аты жана башкаруу каналынын коргоо параметрлери шифр тандоодон өзүнчө жана кандайдыр бир шайкештик өзгөрүүсүнөн аман калышы керек.

Сүйлөшүлгөн маалымат шифрин, кардар версиясын жана сервер версиясын бирге жазып коюңуз, кийинки салыштыруу профиль файлынан эмес, фактылардан башталсын.

Колдоого алынган оңдоодон кийин баштапкы байланышты жана кайра сүйлөшүүнү сынап көрүңүз, анткени бир жолу орнотулган сессия ачкычтар жаңыртылганда да ишке ашпай калышы мүмкүн.

Эгер туннель орнотулуп, сайттар дагы иштебесе, шифр эми шектүү эмес. Маршруттоо жана DNS менен улантыңыз. Иш тартиби: эки журнал сабын окуңуз, эки тизмени салыштырыңыз, версияларды текшериңиз, камдык вариантты ага муктаж өнөктөшкө гана кошуңуз, анан жаңыртуу жолун кайра сынаңыз.