Kaip OpenVPN data-ciphers parenka duomenų kanalo šifrą

Tunelis pakyla, žurnalas rodo šifrą, o profilio apžvalga tęsiasi. Tada pas partnerį ateina naujinimas ir tas pats profilis nepavyksta su pranešimu apie bendro šifro nebuvimą, o tai siunčia žmones ieškoti direktyvos, kurią reikia ištrinti. Naudinga suprasti, kad data-ciphers aprašo derybas, o ne nustatymą. Viena pusė siūlo sąrašą, kita iš jo renkasi, o rezultatas yra vienas algoritmas, kurį palaiko abi. To apsikeitimo perskaitymas paaiškina daugumą šių gedimų prieš pakeičiant vieną eilutę.

Du kanalai, dvi konfigūracijos

Vienoje OpenVPN sesijoje yra valdymo kanalas ir duomenų kanalas. Valdymo kanalas vykdo TLS rankos paspaudimą, kuris autentifikuoja partnerius ir derasi dėl raktų. Duomenų kanalas šifruoja paketus, kurie perduoda jūsų srautą.

data-ciphers konfigūruoja antrąjį. Valdymo kanalas turi savo parinktis, o profilio tapatybės patikros yra trečias, atskiras klausimas. Vieno pakeitimas netaiso kito, todėl profilis gali atrodyti teisingas ir vis tiek nepavykti tam tikrame etape.

Laikykite tris atskirose dėžutėse, kai skaitote konfigūracijos failą.

Perskaitykite derybas iš žurnalo

Kliento žurnalas įvardija abu rezultatus, kai ryšys pavyksta. Viena eilutė praneša apie valdymo kanalą ir jo TLS detales, o kita – apie pasirinktą duomenų kanalo šifrą.

Perskaitykite abu, nes jie atsako į skirtingus klausimus. Valdymo kanalo gedimas sustabdo ryšį anksčiau, nei bet koks duomenų šifras tampa svarbus. Duomenų kanalo nesutapimas pasirodo po sėkmingo rankos paspaudimo su pranešimu apie bendro šifro nebuvimą.

Tada palyginkite siūlomus sąrašus abiejose pusėse. Vardas, kurio vieno partnerio versija ar jos kriptografinis pagrindas neteikia, negali būti pasirinktas, nesvarbu, kaip anksti jis pasirodo kito partnerio sąraše.

Kaip iš tikrųjų vyksta pasirinkimas

Serveris rankos paspaudimo metu nustumia savo data-ciphers sąrašą klientui, o klientas pasirenka pirmąjį to sąrašo įrašą, kurį taip pat palaiko. Todėl tvarka priklauso serverio konfigūracijai, o ne kliento.

Ši detalė paaiškina vieną klaidinančių rezultatų klasę. Kliento sąrašo pertvarkymas nieko nekeičia, kol sprendžia serverio sąrašas. Šifro, kurio klientas negali pateikti, pridėjimas taip pat nieko nekeičia, nes klientas turi galėti naudoti pasirinktą įrašą.

Naujesnės versijos pakeitė numatytąjį sąrašą ir pervadino parinktį, kuri jį laikė, todėl du skirtingų versijų partneriai gali nesutarti niekam neredaguojant profilio. Prieš manydami, kad tai rašybos klaida, patikrinkite versiją kiekvienoje pusėje.

Sąrašas abstrakčiai nėra stiprumo reitingas. Tai kandidatų rinkinys, o pasirinktasis yra pirmasis abipusiai palaikomas įrašas serverio tvarka. Todėl du skirtingai atrodantys sąrašai gali suderėti tą patį šifrą. Taip pat todėl du vienodai atrodantys sąrašai gali nepavykti.

Senesniems partneriams reikia tyčinio atsarginio varianto

Partneriui, kuris visai negali derėtis, nes yra senesnis už mechanizmą arba jį išjungė, reikia dokumentuoto suderinamumo sprendimo. Atsarginis variantas egzistuoja būtent tam atvejui ir taikomas partneriams, kurie nedalyvauja derybose.

Tai nėra tas pats, kas įjungti kiekvieną paveldėtą šifrą, kad pranešimas išnyktų. Platus sąrašas silpnina sesiją kiekvienam partneriui, įskaitant tuos, kurie būtų suderėję ką nors stipraus.

Suderinkite abi puses, o ne redaguokite nesusijusius algoritmo pavadinimus. Jei serverio naujinimas pašalino seną parinktį, taisymas priklauso versijų planui, o ne skubiam darbui kliente.

Išsaugokite patikrą nepaliestą

Duomenų kanalo nesutapimas nėra priežastis priimti nepatikrintą serverį. Sertifikato patikra, laukiamas serverio vardas ir valdymo kanalo apsaugos nustatymai yra atskiri nuo šifro pasirinkimo ir turėtų išlikti po bet kokio suderinamumo pakeitimo.

Užrašykite suderėtą duomenų šifrą, kliento versiją ir serverio versiją kartu, kad kitas palyginimas prasidėtų nuo faktų, o ne nuo profilio failo.

Po palaikomo pataisymo išbandykite pradinį ryšį ir pakartotines derybas, nes sesija, kuri susidaro vieną kartą, vis tiek gali nepavykti atnaujinant raktus.

Jei tunelis susidaro, o svetainės vis tiek neveikia, šifras nebėra įtariamasis. Tęskite su maršrutizavimu ir DNS. Darbo tvarka: perskaitykite abi žurnalo eilutes, palyginkite abu sąrašus, patikrinkite versijas, pridėkite atsarginį variantą tik partneriui, kuriam jo reikia, ir tada dar kartą išbandykite atnaujinimo kelią.