OpenVPN paketo HMAC autentifikavimas nepavyko: kuris sluoksnis?

Dvi nesėkmės pranešamos ta pačia terminija ir beveik neturi nieko bendra. Viena yra paketas, kurio autentifikavimo žyma nebuvo patvirtinta; kita yra asmuo, kurio prisijungimo duomenys buvo atmesti. Vertinant pirmąją kaip antrąją, ieškosite slaptažodžio, kuris niekada nebuvo problema.

Pranešimas įvardija sluoksnį, ir naudingas darbas yra nuspręsti, kuris, prieš keičiant bet kokią medžiagą. Kandidatų palyginimas greta yra greičiausias būdas pamatyti skirtumą.

Dvi nesėkmės, kurios dalijasi vienu žodžiu

Paketo autentifikavimo klaida iškyla apdorojant srautą: gauto paketo žyma arba santrauka nesutapo su tuo, ką apskaičiavo gavėjas. Paskyros atmetimas įvyksta po prisijungimo mainų analizės ir įvardija naudotoją, o ne paketą. Trečiasis pranešimas, apie tai, kad įeinančiame pakete nerasta HMAC, vėl kitoks, nes ten paketas atvyko visiškai be laukiamo autentifikavimo elemento. Visas žurnalo priešdėlis pasako, kurį iš trijų turite, ir priešdėlis paprastai yra pirmas dalykas, kuris pašalinamas, kai klaida įklijuojama į bilietą.

Skirtumas keičia taisymą. Viena reikalauja suderintų kanalo nustatymų, kita paskyros būsenos, o trečioji profilio, kuris neatitinka pasiekto klausytojo.

Palyginkite, ką iš tikrųjų įkėlė veikiantis procesas

Taisyklingas failas diske nieko neįrodo apie procesą, kuris pradėjo veikti prieš jį redaguojant. Patikrinkite pasirinktą profilį, galinį tašką, su kuriuo buvo susisiekta, ir ar paslauga buvo įkelta iš naujo po pakeitimo. Taip pat patvirtinkite, kad galinis taškas priklauso profiliui, nes kita instancija ar kita paslauga gali klausytis ten, kur senas failas tikisi kažko kito.

Palaikomo profilio eksportavimas iš naujo iš to paties šaltinio yra pigus palyginimas, nes pašalina skirtumą tarp to, ką manote sukonfigūravę, ir to, ką klientas iš tikrųjų siunčia. Naujos raktų medžiagos generavimas yra daug didesnis žingsnis, ir jis padeda tik jei abu galai jį priima kartu. Vienos pusės pakeitimas vietoje iš naujo sukuria tą neatitikimą, kurį bandėte pašalinti.

Palyginkite valdymo kanalą su duomenų kanalu

Du mechanizmai autentifikuoja skirtingas ryšio dalis ir konfigūruojami atskirai, kaip 2.6 parinkčių žinynas aprašo. tls-auth prideda HMAC prie valdymo kanalo paketų ir priima krypties argumentą, kuris dviejuose partneriuose turi būti priešingas, o tls-crypt vietoj to apsaugo valdymo kanalą bendru raktu. Nė vienas nėra paties duomenų kanalo vientisumo patikra. Su AEAD duomenų šifru ta patikra įmontuota į šifrą, todėl atskira auth santrauka nenaudojama taip, kaip su ne AEAD šifru.

Tai reiškia, kad auth eilutė, nukopijuota iš veikiančio ne AEAD diegimo, gali būti nereikšminga AEAD diegime, o AEAD diegimas vis tiek gali nepavykti valdymo kanale, jei tls-auth raktas arba jo kryptis neteisinga. Lyginkite kiekvieną nustatymą su partneriu, o ne su įsimintu konfigūracija.

Palyginkite taisymą su savybe, kurios atsisakote

Išjungus paketų autentifikavimą, įspėjimas nutyla ir pašalinama patikra, kuri rado neatitikimą, o tai nėra tas pats, kas sutaisyti profilį. Paklauskite, kokios savybės atsisakote ir ar dizainas be jos išsilaiko.

Prieš ką nors keisdami perskaitykite pirmąjį reikšmingą įvykį abiejuose galuose, tada pakeiskite tik tą neatitikimą, kurį jis įvardija.

Jei kitas bandymas pasiekia sertifikato ar prisijungimo klaidą, tai pažanga, o ne regresija: paketų sluoksnis dabar sutaria ir ryšys pajudėjo toliau. Užsirašykite nustatymus, kurie sukėlė pokytį, kad kitas žmogus paveldėtų paaiškinimą, o ne mįslę.