tls-auth жана tls-crypt: OpenVPN ичинде ар бири эмнени коргойт

Эки опция тең жалпы ачкыч файлын колдонот жана экөө тең кол алышуу трафигин бурмалоону кыйындатат, ошондуктан аларды бир функциянын эки аталышы катары карашат. Андай эмес. Бири башкаруу пакеттерине кол коёт, экинчиси аларды шифрлайт да, жана экөөнүн тең сиздин жүктөмөңүздү коргогон шифрге тиешеси жок.

Бул айырмачылык профиль туташа албаганда, коопсуздук текшерүүсү ачкыч эмнени коргойт деп сураганда жана бирөө кошумча файл туннелди кандайдыр бир аныкталбаган жол менен шифрлайт деп ойлогондо маанилүү.

Жалпы ачкыч чындыгында эмнени коргойт

Бул опциялар колдонгон ачкыч башкаруу каналына таандык: параметрлерди келишкен, инсандыктарды далилдеген жана маалымат ачкычтарын чыгарган алмашуу. Бул кол алышуу улантылышы үчүн эки учунда болушу керек болгон алдын ала бөлүнгөн сыр. Ал инсандык текшерүүлөрдүн алдында тургандыктан, туура эмес ачкыч туура эмес сырсөзгө караганда эртерек сүйлөшүүнү токтотот. Ушул тартип иштебей калуу режиминин эмне үчүн ушунчалык үнсүз экенин түшүндүрөт.

tls-auth ошол сырды башкаруу пакеттери боюнча HMAC эсептөө үчүн колдонот. Жарактуу колтамгасыз пакет кымбатыраак TLS иштетүүгө жетпей туруп ташталат, ошондуктан бул опцияны TLS ордуна эмес, биринчи чыпка деп сүрөттөшөт.

tls-crypt андан ары барат жана корголгон башкаруу трафигин аутентификациялоо менен катар шифрлайт. Сертификаттардын мазмуну, келишилген шифр аттары жана кол алышуунун башка деталдары эми тармакта көрүнбөйт, ачкычы жок байкоочу кайсы TLS версиясы сыналып жатканын да көрө албайт. Өзүнүн VPN изи ачылышынан корккон жайгаштыруу үчүн ушул касиет аны тандоонун негизги себеби. Ал дагы эле топтук сыр, колдонуучуга жеке каттоо эсеби эмес.

Эч бир механизм инсандык бербейт. Жалпы ачкыч — топтук сыр, жана аны кармаган ар ким текшерүүнүн ошол катмарынан өтө алат.

Эки опция кайсы жерде айырмаланат

Көрүнүүчү айырма — байкоочунун эмнени көрүшү. tls-auth менен кол алышуу көрүнөт, бирок ачкычсыз текшерилбейт. tls-crypt менен кол алышуу ачкычы жок ар ким үчүн тунук эмес.

Конфигурация да башкача. tls-auth багыт мааниси менен колдонулат, ошондуктан бир тарап ачкыч материалынын бир жарымын, экинчи тарап калган жарымын колдонот. tls-crypt эки багытта тең бир ачкычты колдонот, ошондуктан багыт нускамасы анын түзүлүшүнө кирбейт.

Заманбап чыгарылыштарда эки опция бири-бирин жокко чыгарат. Профилде алардын бири болушу керек, экөө эмес, жана сервер менен клиент кайсынысы экенин, окшош ачкыч материалы менен макулдашууга тийиш. Эски нускаманы жаңысынын жанында кармоо — көчүрүүнүн кеңири тараган калдыгы. Активдүү эмесин алып салыңыз, ошондо кийинки окуучу кайсы катмар чындап күчүндө экенин билет.

Жаңыраак вариант, tls-crypt-v2, ар бир клиентти өзүнүн оролгон ачкычына байлайт, ошондуктан бир клиентти артка чакыртуу топтук ачкычты кайра чыгарууну талап кылбайт. Бул тууралуу билген пайдалуу, бирок ал башка опция жана бул жердеги экөөнүн эч биринин синоними эмес.

Эмне үчүн дал келбестик эч нерсе болбогондой көрүнөт

Жалпы материал дал келбегенде, каршы тарап пакеттерди жөнөтүүчүгө себебин айтпастан таштайт. Окуй турган аутентификация катасы жок, анткени пакет аны жарата турган катмарга эч качан жеткен эмес.

Клиент кайра аракет кылат, сервер эч нерсе дебейт, жана белги тармак маселесине окшош. Анан адамдар кызматты кайра башташат, эсептин сырсөзүн кайра теришет же «сынаш» үчүн коргоо нускамасын алып салышат, бул диагностикалоонун ордуна жайгаштырууну өзгөртөт.

Сервер журналында акыркы кайталоо сабын эмес, пакет деңгээлиндеги биринчи нааразычылыкты окуңуз. Эки тарап тең бирдей ачкыч материалы менен бирдей опцияны кармаганын жана ачкыч файлы бир гана тарапта кайра жасалбаганын ырастаңыз.

Нускаманы алып салуу коопсуз оңдоо эмес. Ал ар бир клиент үчүн коргоо катмарын өчүрөт, ал эми кийин иштеген туннел ошол катмар дал келбестик болгонун гана далилдейт.

Дагы эмнени өзүнчө конфигурациялоо керек

Бул опциялар каршы тарап ким экенин текшербейт. Сертификаттарды валидациялоо, ишеним таянычы жана күтүлгөн сервер аты өзүнчө талап бойдон калат, жана жалпы ачкыч болгондуктан алардын эч бири милдеттүү эмеске айланбайт.

Алар маалымат шифрин да тандашпайт. Бул эки тараптын маалымат каналынын жөндөөлөрү башкарган өзүнчө сүйлөшүү, жана tls-crypt менен корголгон туннел да сиз ойлобогон шифрди колдоно алат.

Акырында, жалпы ачкычтын өзү кам көрүүнү талап кылат. Аны сыр катары кармаңыз, бекитилген канал аркылуу таратыңыз жана аны кармаган кимдир бирөө кеткенде алмаштырыңыз. Ал жалпы болгондуктан, анын ачылышы аны колдонгон ар бир учтун ачылышы.