Firwat d’Bäisetze vun opt-verify den OpenVPN-Verschlüsselungsfehler net behieft

Dir fannt eng Suggestioun, opt-verify derbäizesetzen, setzt d’Linn derbäi, an de Verschlüsselungsfehler bleift genee do, wou en war. Dat Resultat ass virauszesoen, well d’Optioun ni eng Verschlüsselung ausgehandelt huet. Et war eng Optiounskonsistenzpréifung, an 2.6 veralt an an 2.7 ewechgefall, an e Profil, deen domat nach geparst gëtt, huet domat näischt duerchgesat.

Et hëlleft ze wëssen, wat d’Linn fréier gemaach huet, ier Dir schléisst, datt et dat fehlend Deel ass. D’Geschicht erkläert och, firwat et elo net ka hëllefen.

Wat d’Optioun fréier duerchgesat huet

D’Handbuch vun 2.6 markéiert opt-verify als veralt an beschreift dat fréiert Verhalen: de Server werft Clienten eraus, deenen hir deklaréiert Optiounen net mat sengen eegene passen, andeems en Saachen wéi Apparattyp an MTU vergläicht. Dee Préifung hänkt och dovun of, datt d’Optiounskonsistenzpréifung ageschalt bleift, sou datt e Server, deen mat disable-occ leeft, se ni hat. Kuckt, aus wat de Verglach gebaut ass: Text, deen d’Konfiguratioun vun der anerer Säit beschreift. En seet näischt doriwwer, wéi eng Verschlüsselung den Dateskanal wäert benotzen.

Dat ass den éischte Grond, firwat d’Fändel e Verschlüsselungsfehler net ka behiewen. D’Auswiel vun der Verschlüsselung gëtt duerch d’Politik data-ciphers an duerch dat, wat béid Säiten ënnerstëtzen, geregelt, an eng textuell Konsistenzpréifung verlängert déi Lëscht net an hëlt d’Verhandlungen net vir. Den zweeten Grond ass den Ëmfang: d’Préifung geet drëm, ob déi deklaréiert Optiounen kompatibel ausgesinn, net ëm d’Qualitéit vum Wee, deen doraus entsteet.

Wat 2.7 mécht, wann en d’Linn gesäit

An 2.7 ass d’Optioun fort. De Parser erkennt den Numm nach, dofir lued e ale Profil ouni Syntaxfehler, an en mellt, datt d’Optioun ewechgefall ass, amplaz se stëll z’iwwergoen. En Numm erkennen an e Verhalen duerchsetzen sinn zwou verschidden Saachen, a just déi éischt geschitt nach. D’Ewechfallnotizen ginn de Grond: soubal Parameter ausgehandelt kënne ginn, kënnen zwou Säiten legitim verschidden Optiounsstrings hunn, während se sech iwwer d’Verbindung eens sinn.

E Profil, deen geparst gëtt, ass dofir kee Beweis, datt eng Uschlosskontroll gelaf ass. Wann Ären eenzege Signal ass, datt de Client sech verbonnen huet, hutt Dir geléiert, datt d’Syntax ugeholl gouf.

Wou de Feeler tatsächlech läit

Bewaart den éischte konkrete Feeler, ier Dir eppes ännert, well spéider Messagen normalerweis seng Konsequenze sinn. En Ausverhandlungsfeeler vum Dateskanal gehéiert zu der guttgeheeschter Verschlüsselungspolitik an zu de Fäegkeeten, déi béid Säiten tatsächlech annoncéieren. En Feeler bei der TLS-Versioun oder -Suite gehéiert zum Kontrollkanal. Eng Zertifikatsoflehnung brauch d’Identitéit an d’Vertrauenskette, net e Kompatibilitéitsfändel.

Identifizéiert och de Motor op béiden Enner. Eng Desktop-Applikatioun ka en anere Build matbréngen wéi de Kommandozeilen-Binär, mat deem Dir getest hutt, an d’Optiounsënnerstëtzung ënnerscheet sech tëschent hinnen. Kuckt d’Dokumentatioun vun deem Motor, amplaz unzehuelen, datt all Programm, deen e Profil importéiert, sech gläich verhält.

Ersetzt d’Absicht, net just d’Linn

Wann e méi ale verwaltete Server wierklech op der Konsistenzpréifung berout huet, notéiert wéi eng Restriktioun en virum Upgrade duerchgesat huet. Eng ignoréiert Optioun an engem méi neie Profil ze behalen kann déi Politik net erhalen, a Linn zoufälleg ze läschen och net.

Äntwert net op eng al Suggestioun, datt all Verschlüsselungen deaktivéiert sinn, andeems Dir all historeschen Algorithmus aktivéiert.

No enger guttgeheeschter Korrektur, iwwerpréift d’ausgehandelt Resultater op enger neier Verbindung a test d’Applikatioun, déi den Notzer wierklech brauch. Halt d’Server-Versioun an déi effektiv Politik niewent deem Resultat, sou datt déi nächst Persoun gesäit, wat ofgemaach gouf, an net just wat ugeholl gouf.

D’Zil ass eng ënnerstëtzte Restriktioun an en funktionnéierende authentifizéierte Wee, net en alen Fändel, deen nach geparst gëtt.