opt-verify кошуу OpenVPN шифр катасын эмнеге оңдобойт

Сизге opt-verify кошуу боюнча сунуш кезигет, сапты кошосуз, ал эми шифр катасы так мурунку ордунда калат. Бул жыйынтык алдын ала белгилүү, анткени опция эч качан шифр боюнча сүйлөшүү жүргүзгөн эмес. Бул опциялардын ырааттуулугун текшерүү эле, 2.6да эскирген жана 2.7де алынып салынган, жана аны менен дагы эле талданган профиль ушундан улам эч нерсени таңуулаган эмес.

Сап мурун эмне кылганын билүү пайдалуу, аны жетишпеген бөлүк деп жыйынтыктоодон мурун. Тарых азыр эмнеге жардам бере албастыгын да түшүндүрөт.

Опция мурун эмнени таңуулаган

2.6нын колдонмосу opt-verify опциясын эскирген деп белгилейт жана мурунку жүрүм-турумду сүрөттөйт: сервер жарыяланган опциялары өзүнүкүнө туура келбеген кардарларды таштайт, түзмөк түрү жана MTU сыяктуу нерселерди салыштырат. Бул текшерүү опциялардын ырааттуулугун текшерүү күйүп турушуна да көз каранды, ошондуктан disable-occ менен иштеген серверде ал баштапкы эле жок болчу. Салыштыруу эмнеден курулганына көңүл буруңуз: каршы тараптын конфигурациясын сүрөттөгөн текст. Ал маалымат каналы кайсы шифрди колдонору жөнүндө эч нерсе айтпайт.

Бул флагдын шифр катасын оңдой албастыгынын биринчи себеби. Шифр тандоону data-ciphers саясаты жана эки тарап тең колдогон нерселер жөнгө салат, ал эми тексттик ырааттуулук текшерүүсү бул тизмени кеңейтпейт да, сүйлөшүүнү да жүргүзбөйт. Экинчи себеби — камтуу: текшерүү жарыяланган опциялар шайкеш көрүнөбү же жокпу жөнүндө, натыйжада пайда болгон жолдун сапаты жөнүндө эмес.

2.7 сапты көргөндө эмне кылат

2.7де опция жок. Талдоочу дагы эле атты тааныйт, ошондуктан эски профиль синтаксистик катасыз жүктөлөт жана опция алынып салынганын билдирет, аны үнсүз өткөрүп жибербейт. Атты таануу жана жүрүм-турумду таңуулоо ар башка нерселер, жана азырынча биринчиси гана болуп жатат. Алып салуу эскертүүлөрү себебин берет: параметрлер боюнча сүйлөшүү мүмкүн болгондон кийин, эки тарап байланыш боюнча макулдашып туруп, мыйзамдуу түрдө ар башка опция саптарына ээ боло алат.

Ошондуктан талданган профиль кандайдыр бир кабыл алуу текшерүүсү аткарылганына далил эмес. Эгер жалгыз белгиңиз кардардын туташканы болсо, сиз синтаксис кабыл алынганын билдиңиз.

Кемчилик чындыгында кайда жашайт

Бир нерсени өзгөртүүдөн мурун биринчи конкреттүү катаны сактап калыңыз, анткени кийинки билдирүүлөр адатта анын кесепеттери. Маалымат каналынын сүйлөшүү кемчилиги бекитилген шифр саясатына жана эки тарап чындап жарыялаган мүмкүнчүлүктөргө таандык. TLS версиясы же топтомунун кемчилиги башкаруу каналына таандык. Сертификаттан баш тартууга инсандык жана ишеним чынжыры керек, шайкештик флагы эмес.

Эки учундагы кыймылдаткычты да аныктаңыз. Иш тактасындагы колдонмо сиз сынаган буйрук сабынын бинардык файлынан башка курулманы камтышы мүмкүн, жана опцияларды колдоо алардын ортосунда айырмаланат. Профиль импорттогон ар бир программа бирдей жүрүм-турум көрсөтөт деп божомолдоонун ордуна ошол кыймылдаткычтын документтерин караңыз.

Сапты гана эмес, ниетти да алмаштырыңыз

Эгер эски башкарылуучу сервер чын эле ырааттуулук текшерүүсүнө таянса, жаңыртуудан мурун ал кандай чектөөнү таңуулаганын жазып коюңуз. Жаңыраак профилде этибарга алынбаган опцияны сактоо бул саясатты сактай албайт, саптарды тартипсиз өчүрүү да сактай албайт.

Бардык шифрлер өчүрүлгөн деген эски сунушка бардык тарыхый алгоритмди күйгүзүү менен жооп бербеңиз.

Бекитилген оңдоодон кийин жаңы туташууда сүйлөшүлгөн жыйынтыктарды карап чыгыңыз жана колдонуучуга чындап керек болгон колдонмону сынаңыз. Сервер версиясын жана натыйжалуу саясатты ошол жыйынтыктын жанында кармаңыз, ошондо кийинки адам эмне макулдашылганын көрөт, эмне жөн эле кабыл алынганын эмес.

Максат — колдоого алынган чектөө жана иштеген аутентификацияланган жол, дагы эле талданган эски флаг эмес.