auth digest OpenVPN'дин кайсы пакеттерин коргойт?
auth параметри профиль көрсөткөндөн аз камтыйт. Digest саясатын белгилөөдөн мурун каналды, AEAD учурун жана башкаруу каналынын коргоосун карап чыгыңыз.
OpenVPN digest-тери тууралуу талаштардын көбү туура эмес пакеттен башталат. auth SHA256 дегенди «SHA256 сунуштаган өнөктөштөрдү гана кабыл ал» деп окуу — эң оболу унутуу керек нерсе. Параметр белгилүү пакеттер үчүн digest атайт, ал эми ал пакеттер кайсы экени каналга жана ошол каналдын AEAD болушуна байланыштуу. Төмөнкү төрт суроону ирети менен карап чыгыңыз; ар бири бул параметрдин сиздин жайгаштырууңузда кандай маани беришин тарытат.
Параметр коргоого тийиш каналды атаңыз
OpenVPN байланышында TLS кол алышуу трафигин ташыган башкаруу каналы жана туннелдин жүгүн ташыган маалымат каналы бар. auth digest экөөндө тең роль ойнойт, бирок бирдей эмес, жана профиль айырманы сейрек көрүнүктүү кылат. Конфигурация файлына кол тийгизүүдөн мурун экөөнүн кайсынысын чектегиңиз келерин жазып алыңыз.
Төмөнкү таблица — ошол эле параметрдин ар бир контекстте кантип жайгашарынын кыскача версиясы.
| Context | What the auth digest does |
|---|---|
| Data channel without AEAD | Selects the HMAC digest that authenticates each data packet |
| Data channel with AEAD, such as GCM | Unused for the data channel; the cipher authenticates its own packets |
| Control channel protected by tls-auth | Selects the HMAC digest for that protection, even when data is AEAD |
Ага таянбастан мурун маалымат каналынын AEAD экенин текшериңиз
Эгер келишилген маалымат шифри AES-GCM же CHACHA20-POLY1305 болсо, маалымат каналы өзүн өзү аутентификациялайт жана өзүнчө digest сиз ойлогон ишти аткарбайт. Экөө тең AEAD курулмалары, ошондуктан бүтүндүк жүктү шифрлаган ошол эле операция аркылуу жаралат. Бул деңгээлдин төмөндөшү эмес, бирок «ар бир маалымат пакети HMAC-SHA256» деп негизделген саясат ошол туннелде иш жүзүндө туура эмес экенин билдирет. Саясатты кайра жазардан мурун келишилген маанини сервер журналында же кардар абалынын чыгышында ырастаңыз.
Профилдеги тизмеден көрө иш жүзүндө келишилген шифрди текшериңиз, анткени сүйлөшүү жыйындынын башка мүчөсүнө түшүшү мүмкүн. data-ciphers AES-256-GCM:AES-128-GCM — сүйлөшүү тизмеси, жана эки жазуу тең AEAD, ошондуктан алардын эч бири жүк коргоосу үчүн auth digest-ин сарп кылбайт.
Башкаруу каналынын коргоосун өзүнчө чечим катары караңыз
tls-auth башкаруу каналынын пакеттерине HMAC кошот жана digest-ин auth параметринен алат, ошондуктан AEAD туннелинде да маанилүү digest конфигурацияланышы мүмкүн. tls-crypt — өзүнүн туруктуу коргоосу бар башка жайгашуу, ошондуктан ал tls-auth-тын ар бир касиетин мураска алат деп ойлобоңуз. Болжолдорду алардын ортосунда көчүрүүнүн ордуна тандаган механизмиңиздин документтерин окуңуз.
Эки өнөктөш жайгашуу жана ачкычтын багыты боюнча да келишиши керек. Дал келген digest, бирок туура эмес багытта колдонулган ачкыч файлы digest параметри түшүндүрө албаган себептер менен ийгиликсиз болгон кол алышууну жаратат.
auth-ты шифр сүйлөшүүсүнөн жана сертификаттардан өзүнчө кармаңыз
Үч параметр дайыма аралашат: auth digest, маалымат шифрлеринин тизмеси жана сертификаттын кол тамга алгоритми. Биринчисин өзгөртүү сертификатты кайра бербейт, анын кол тамга digest-ин тандабайт жана колдонуучу-сырсөз ыкмасын жаратпайт. Протокол параметрлеринин аныктамалары OpenVPN 2.6 булактарында ар бирин өз бөлүмүндө сүрөттөйт, бул алардын көз карандысыз механизмдер экенин эскерткен пайдалуу эскертүү.
Digest өзгөргөндөн кийин өнөктөш туташуудан баш тартса, себеби адатта калган эки параметрдин бириндеги дал келбестик. Кайсынысын болбосун өзгөртүүдөн мурун эки тарапты окуңуз.
Саясатты жазыңыз жана аны иштеп жаткан конфигурациялар менен салыштырыңыз
Флот деңгээлиндеги билдирүү уруксат берилген маалымат каналы режимдерин жана тандалган башкаруу каналынын коргоосун бир сүйлөмдө ачык аташы керек. Бул сүйлөм текшерилүүчү; «биз SHA256 колдонобуз» — жок. Андан кийин аны кампадагы үлгү менен эмес, иш жүзүндөгү сервер жана кардар профилдери менен салыштырыңыз.
Ар бир туннелдин эмнени келишкенин жана анын пакеттерин кайсы механизм аутентификациялаганын жазып бүтүрүңүз. Профилде көрүнгөн auth сабы конфигурация ниетинин далили гана, ал эми ниет текшерүүнүн эң арзан бөлүгү.