Wéi OpenVPN data-ciphers de Chiffrement vum Dateskanal auswielt

Den Tunnel kënnt erop, de Log weist eng Chiffréierung an d'Profilpréift geet virun. Du kënnt en Upgrade bei engem Partner un an datselwecht Profil schléit fehl mat enger Noriicht iwwer keng gemeinsaam Chiffréierung, wat d'Leit op d'Sich no enger Direktiv schéckt, déi geläscht soll ginn. Dat Nëtzlech ze verstoen ass, datt data-ciphers eng Verhandlung beschreift, net eng Astellung. Eng Säit bitt eng Lëscht un, déi aner wielt doraus, an d'Resultat ass een eenzegen Algorithmus, deen déi zwou ënnerstëtzen. Dësen Austausch ze liesen erkläert déi meeschten dëser Feeler, ier Dir eng Zeil ännert.

Zwee Kanäl, zwou Konfiguratiounen

Eng OpenVPN-Sessioun huet en Kontrollkanal an en Dateskanal. De Kontrollkanal féiert den TLS-Handshake aus, deen d'Partner authentifizéiert an d'Schlëssel verhandelt. Den Dateskanal verschlësselt d'Paketen, déi Ären Trafik droen.

data-ciphers konfiguréiert deen zweeten. De Kontrollkanal huet seng eegen Optiounen, an d'Identitéitspréifunge vum Profil sinn en drëtt, getrennt Thema. Eng Ännerung um eenen hëlleft dem aneren net, dofir kann e Profil richteg ausgesinn an trotzdem an enger bestëmmter Etapp fehlschloen.

Hält déi dräi an hirem eegene Këschten, wann Dir eng Konfiguratiounsdatei liest.

Liest d'Verhandlung aus dem Log

De Client-Log nennt déi zwou Resultater, wann d'Verbindung geléngt. Eng Zeil mellt de Kontrollkanal an seng TLS-Detailer, an eng aner mellt déi gewielte Chiffréierung vum Dateskanal.

Liest béid, well si ënnerschiddlech Froen beäntweren. E Feeler am Kontrollkanal stoppt d'Verbindung, ier iergendeng Datechiffréierung wichteg gëtt. Eng Ofwäichung am Dateskanal erschéngt no engem erfollegräichen Handshake, mat enger Noriicht iwwer keng gemeinsaam Chiffréierung.

Dann vergläicht déi ugebuede Lëschten op béide Säiten. En Numm, deen d'Versioun vun engem Partner oder säi Krypto-Hannergrond net ubitt, kann net ausgewielt ginn, egal wéi fréi en an der Lëscht vum anere Partner erschéngt.

Wéi d'Auswiel tatsächlech geschitt

De Server dréckt seng data-ciphers-Lëscht wärend dem Handshake op de Client, an de Client wielt déi éischt Entrée an där Lëscht, déi hien och ënnerstëtzt. D'Reiefolleg gehéiert dowéinst zur Konfiguratioun vum Server, net zu där vum Client.

Dësen Detail erkläert eng Klass vu verwirrenden Resultater. D'Lëscht vum Client nei ze ordnen ännert näischt, soulaang d'Lëscht vum Server entscheet. Eng Chiffréierung derbäizesetzen, déi de Client net ka bidden, ännert och näischt, well de Client d'Entrée, déi hie wielt, muss kënnen notzen.

Méi nei Versiounen huet d'Standardlëscht geännert an d'Optioun ëmbenannt, déi s'virdru gehal huet, sou datt zwee Partner op verschiddene Versiounen net d'accord kënne sinn, ouni datt een e Profil ännert. Préift d'Versioun op all Säit, ier Dir en Tippfeeler unhëlt.

Eng Lëscht ass keng Kraaftclassement an der Abstraktioun. Et ass eng Rei Kandidaten, an deen ausgewielten ass déi éischt géigesäiteg ënnerstëtzten Entrée an der Reiefolleg vum Server. Dofir kënnen zwou Lëschten, déi ënnerschiddlech ausgesinn, déiselwecht Chiffréierung verhandelen. Dofir kënnen och zwou Lëschten, déi identesch ausgesinn, fehlschloen.

Méi al Partner brauchen eng bewosst Reserv

E Partner, dee guer net ka verhandelen, well en méi al wéi de Mechanismus ass oder en deaktivéiert huet, brauch eng dokumentéiert Kompatibilitéitsarrangement. D'Reservoptioun existéiert genau fir dee Fall a gëllt fir Partner, déi net un der Verhandlung deelhuelen.

Dat ass net datselwecht wéi all al Chiffréierung anzeschalten, fir datt eng Noriicht verschwënnt. Eng breet Lëscht mécht d'Sessioun fir all Partner méi schwaach, och fir déi, déi eppes Staarkes verhandelt hätten.

Koordinéiert déi zwou Säiten, amplaz onverbonnen Algorithmusnimm z'änneren. Wann en Server-Upgrade eng al Optioun ewechgeholl huet, gehéiert d'Korrektur an de Versiounsplang, net an eng Hast beim Client.

Hält d'Verifikatioun intakt

Eng Ofwäichung am Dateskanal ass kee Grond, en onverifizéierte Server ze akzeptéieren. D'Zertifikatsverifikatioun, den erwaarten Servernumm an d'Schutzastellunge vum Kontrollkanal sinn getrennt vun der Chiffréierungswiel a sollten all Kompatibilitéitsännerung iwwerliewe.

Hält déi verhandelt Datechiffréierung, d'Client-Versioun an d'Server-Versioun zesummen fest, sou datt den nächste Verglach vu Fakten aus geet an net vun der Profildatei.

Test no enger ënnerstëtzter Korrektur d'Ufanksverbindung an eng Neiverhandlung, well eng Sessioun, déi eemol etabléiert gëtt, nach ëmmer ka fehlschloen, wann d'Schlëssel erneiert ginn.

Wann den Tunnel sech etabléiert a Säite weider fehlschloen, ass d'Chiffréierung net méi verdächteg. Fuert mam Routing an DNS weider. Aarbechtsuerdnung: liest béid Logzeilen, vergläicht béid Lëschten, préift d'Versiounen, füügt eng Reserv nëmme fir e Partner derbäi, deen eng brauch, a test dann den Erneierungswee nach eng Kéier.