OpenVPN glaudinimas: atmesti, tik priimti ar visas LZO?
comp-lzo no nėra griežtas atmetimas. Palyginkite glaudinimo atmetimą, vienkryptį priėmimą per migraciją ir jo išlaikymą, o tada patikrinkite, ką daro offload.
Trys profilio eilutės atrodo taip, tarsi visos išjungtų glaudinimą, o iš tikrųjų tai daro tik viena. Skirtumas svarbus, nes įspėjimas, kurį norite nutildyti, yra simptomas, o politika nusprendžia, ar kita pusė dar gali glaudinti. Palyginus parinktis vienoje ašyje, tai yra ką kiekviena leidžia po pakeitimo, pašalinama didžioji dalis neaiškumo. Kurią norite, priklauso nuo to, ar migruojate, ar įsikuriate.
Trys politikos, kurios konfigūracijos faile atrodo panašiai
Kiekviena parinktis atsako į skirtingą klausimą. allow-compression no tiesiogiai atmeta suspaustus duomenis, allow-compression asym išskleidžia tai, kas ateina, ir niekada nespaudžia to, kas išeina, o senoji comp-lzo no palieka vietos kitos pusės push įjungti glaudinimą. Tik pirmoji yra politika, kurios serveris negali apeiti.
Prieš rinkdamiesi surašykite tris į lentelę, nes pavadinimai yra pakankamai artimi, kad suklaidintų recenzentą. Du iš jų vis dar vykdo išskleidimo kodą gautuose paketuose, ir būtent apie tai yra saugumo argumentas. Trečioji pašalina galimybę, o ne apriboja jos kryptį. Jei pakeitimo įraše sakoma, kad glaudinimas išjungtas, tą sakinį atitinka lygiai viena eilutė.
Įspėjimas, nuo kurio prasidėjo tyrimas, nėra tikslas. Jo nutildymas, paliekant leidžiančią politiką, duoda švarų žurnalą ir nepakitusią ekspoziciją.
| Setting | What it permits | When it is the right answer |
|---|---|---|
allow-compression no | No compressed payloads, and no compression framing under offload | Both ends can be changed now |
allow-compression asym | Decompress inbound only | A dated migration while peers catch up |
comp-lzo no | Off locally, still pushable by a peer | Legacy compatibility you can still justify |
Ką no reiškia senojoje LZO parinktyje
Pasenusioje LZO parinktyje no išjungia glaudinimą vietinei pusei, bet neuždraudžia kitai pusei jo įjungti ten, kur politika tai leidžia. Dėl šios asimetrijos profilio perkėlimas į griežtą atmetimą keičia elgseną taip, kad vieno serverio laboratorinis testas gali niekada neatskleisti.
Saugumo susirūpinimas yra sąlyginis, o ne absoliutus. Kai užpuolikas gali padėti pasirinktą atvirą tekstą šalia paslapties ir stebėti, kaip glaudinimas keičia šifruoto srauto dydį, egzistuoja informacijos kanalas. Perėjimas nuo LZO prie LZ4 keičia algoritmą ir įrėminimą, o ne tą mechanizmą.
Taigi sąžininga formuluotė susijusi su tuo, ką esate pasirengę leisti, o ne su tuo, kuris algoritmas dabar rekomenduojamas. Griežtas atmetimas yra vienintelė parinktis, kuri nepriklauso nuo kitos pusės bendradarbiavimo.
Tik priėmimas yra migracijos būsena, o ne tikslas
Asimetrinis priėmimas egzistuoja tam, kad viena pusė galėtų nustoti glaudinti, kol kita to dar tikisi. Tai tiltas, o tiltams reikia pabaigos datos ir savininko. Užrašykite, kurie partneriai dar siunčia suspaustą srautą, nes politika leidžia būtent tokį srautą. Be to sąrašo migracijos būsena dėl inercijos tampa nuolatine konfigūracija.
Klientas negali priversti nesuderinamo serverio atsisakyti seno įrėminimo redaguodamas savo failą. Push kryptis sprendžiama serveryje, todėl migracija iš tikrųjų baigiasi serverio konfigūracijoje ir jo failuose kiekvienam klientui.
Stub režimai išsaugo įrėminimą, bet praleidžia patį glaudinimo darbą, ir jie nėra tiesioginis senesnės parinkties atitikmuo. Išbandykite juos su seniausiu partneriu, kurį dar turite palaikyti, prieš pasirinkdami vieną.
Kur duomenų kanalo offload pakeičia atsakymą
Duomenų kanalo offload perkelia paketų apdorojimą į branduolį, o profilis, kuris vis dar priklauso nuo glaudinimo įrėminimo, gali netilpti į tą kelią. Gedimas ne visada garsus: klientas prisijungia ir tada elgiasi kitaip nei tunelis, kurį išbandėte.
Patikrinkite, kuri implementacija yra aktyvi prieš pakeitimą ir po jo, o ne tik ar ryšys pavyksta. Kai offload kelias atmeta glaudinimo įrėminimą, griežto atmetimo politika ir diegimas su offload sutampa, o leidžianti politika ir diegimas su offload nesutampa.
Šis derinys nusipelno atskiro testo, nes būtent ten teisingai atrodantis failas tyliai nėra tas, kuris naudojamas. Palyginkite suderėtą būseną su profilyje užfiksuotu ketinimu, nes tik vienas iš jų matomas žurnale.
Pasirinkite politiką ir tada patikrinkite suderėtą rezultatą
Pasirinkite griežtą atmetimą, kai galite pakeisti abi puses, asimetrinį priėmimą, kai dar negalite, ir visišką glaudinimą tik tada, kai galite paaiškinti, kodėl ekspozicija priimtina. Tada patikrinkite, dėl ko buvo susitarta, o ne ką sako failas. Tylenis žurnalas yra įrodymas tik tada, kai atitinka politiką, kurią ketinote diegti.
Laikykite sprendimą šalia profilio, kuriam jis taikomas, su data ir dar atleistiems partneriams. Po pusmečio ta pastaba yra skirtumas tarp tyčinės išimties ir nelaimės, kurios niekas negali datuoti. Rašykite ją tame pačiame saugykloje kaip profilis, kad kitas redaktorius pamatytų priežastį prieš nurodymą.