Kā OpenVPN data-ciphers izvēlas datu kanāla šifru

Tunelis paceļas, žurnāls parāda šifru, un profila pārskats turpinās. Tad partnerim pienāk atjauninājums, un tas pats profils neizdodas ar ziņojumu par kopīga šifra trūkumu, kas sūta cilvēkus meklēt direktīvu, kas jādzēš. Noderīgi saprast, ka data-ciphers apraksta sarunas, nevis iestatījumu. Viena puse piedāvā sarakstu, otra no tā izvēlas, un rezultāts ir viens algoritms, ko atbalsta abas. Šīs apmaiņas izlasīšana izskaidro lielāko daļu šo kļūmju pirms vienas rindas maiņas.

Divi kanāli, divas konfigurācijas

Vienā OpenVPN sesijā ir vadības kanāls un datu kanāls. Vadības kanāls izpilda TLS rokasspiedienu, kas autentificē partnerus un vienojas par atslēgām. Datu kanāls šifrē paketes, kas pārvadā jūsu datplūsmu.

data-ciphers konfigurē otro. Vadības kanālam ir savas opcijas, un profila identitātes pārbaudes ir trešais, atsevišķs jautājums. Viena maiņa nelabo otru, tāpēc profils var izskatīties pareizs un tomēr neizdoties noteiktā posmā.

Turiet trīs atsevišķās kastītēs, kad lasāt konfigurācijas failu.

Izlasiet sarunas no žurnāla

Klienta žurnāls nosauc abus rezultātus, kad savienojums izdodas. Viena rinda ziņo par vadības kanālu un tā TLS detaļām, bet cita par izvēlēto datu kanāla šifru.

Izlasiet abas, jo tās atbild uz dažādiem jautājumiem. Vadības kanāla kļūme aptur savienojumu, pirms kāds datu šifrs kļūst svarīgs. Datu kanāla neatbilstība parādās pēc veiksmīgas rokasspiediena, ar ziņojumu par kopīga šifra trūkumu.

Tad salīdziniet piedāvātos sarakstus abās pusēs. Nosaukumu, ko viena partnera versija vai tās kriptogrāfiskais pamats nenodrošina, nevar izvēlēties, lai cik agri tas parādītos otra partnera sarakstā.

Kā izvēle patiešām notiek

Serveris rokasspiediena laikā nosūta savu data-ciphers sarakstu klientam, un klients izvēlas pirmo ierakstu šajā sarakstā, ko tas arī atbalsta. Tāpēc secība pieder servera konfigurācijai, nevis klienta.

Šī detaļa izskaidro vienu mulsinošu rezultātu klasi. Klienta saraksta pārkārtošana neko nemaina, kamēr izšķir servera saraksts. Arī tāda šifra pievienošana, ko klients nevar nodrošināt, neko nemaina, jo klientam ir jāspēj izmantot izvēlēto ierakstu.

Jaunākas versijas mainīja noklusējuma sarakstu un pārdēvēja opciju, kas to agrāk turēja, tāpēc divi dažādu versiju partneri var nesaskanēt, nevienam nepievienojot profilu. Pirms pieņemt drukas kļūdu, pārbaudiet versiju katrā pusē.

Saraksts abstrakti nav spēka reitings. Tas ir kandidātu kopa, un izvēlētais ir pirmais savstarpēji atbalstītais ieraksts servera secībā. Tāpēc divi dažādi izskatošies saraksti var vienoties par to pašu šifru. Tāpēc arī divi identiski izskatošies saraksti var neizdoties.

Vecākiem partneriem vajag apzinātu rezerves variantu

Partnerim, kas vispār nevar risināt sarunas, jo ir vecāks par mehānismu vai to izslēdzis, vajag dokumentētu saderības kārtību. Rezerves opcija pastāv tieši šim gadījumam un attiecas uz partneriem, kas nepiedalās sarunās.

Tas nav tas pats, kas iespējot katru mantoto šifru, lai ziņojums pazustu. Plašs saraksts vājina sesiju katram partnerim, arī tiem, kas būtu vienojušies par kaut ko stipru.

Saskaņojiet abas puses, nevis rediģējiet nesaistītus algoritmu nosaukumus. Ja servera atjauninājums noņēma vecu opciju, labojums pieder versiju plānam, nevis steigai klientā.

Saglabājiet pārbaudi neskartu

Datu kanāla neatbilstība nav iemesls pieņemt nepārbaudītu serveri. Sertifikāta pārbaude, gaidītais servera nosaukums un vadības kanāla aizsardzības iestatījumi ir atsevišķi no šifra izvēles un tiem jāiztur jebkura saderības maiņa.

Pierakstiet vienoties šifru, klienta versiju un servera versiju kopā, lai nākamais salīdzinājums sāktos no faktiem, nevis no profila faila.

Pēc atbalstīta labojuma pārbaudiet sākotnējo savienojumu un atkārtotas sarunas, jo sesija, kas izveidojas vienreiz, atslēgu atjaunināšanas laikā tomēr var neizdoties.

Ja tunelis izveidojas un vietnes joprojām neiet, šifrs vairs nav aizdomās turamais. Turpiniet ar maršrutēšanu un DNS. Darbu secība: izlasiet abas žurnāla rindas, salīdziniet abus sarakstus, pārbaudiet versijas, pievienojiet rezerves variantu tikai partnerim, kam tas vajadzīgs, un pēc tam vēlreiz pārbaudiet atjaunināšanas ceļu.