OpenVPN paketes HMAC autentifikācija neizdevās: kurš slānis?

Divas kļūmes tiek ziņotas ar vienu un to pašu terminoloģiju un tām gandrīz nav nekā kopīga. Viena ir pakete, kuras autentifikācijas atzīme netika pārbaudīta; otra ir persona, kuras akreditācijas dati tika noraidīti. Uztverot pirmo kā otro, jūs meklēsiet paroli, kas nekad nav bijusi problēma.

Ziņojums nosauc slāni, un lietderīgais darbs ir izlemt, kurš tas ir, pirms aizstājat jebkādu materiālu. Kandidātu salīdzināšana līdzās ir ātrākais veids, kā saskatīt atšķirību.

Divas kļūmes, kas dala vienu vārdu

Paketes autentifikācijas kļūda rodas, apstrādājot datplūsmu: saņemtās paketes atzīme vai kopsavilkums nesakrita ar to, ko bija aprēķinājis uztvērējs. Konta noraidīšana notiek pēc pieteikšanās apmaiņas analīzes, un tā nosauc lietotāju, nevis paketi. Trešais ziņojums, par to, ka ienākošajā paketē nevar atrast HMAC, atkal ir citāds, jo tur pakete ieradās pavisam bez gaidītā autentifikācijas elementa. Pilns žurnāla prefikss pasaka, kuru no trim jums ir, un prefikss parasti ir pirmā lieta, kas tiek noņemta, kad kļūda tiek ielīmēta biļetē.

Atšķirība maina labojumu. Vienai vajadzīgi saskaņoti kanāla iestatījumi, otrai konta stāvoklis, bet trešajai profils, kas neatbilst sasniegtajam klausītājam.

Salīdziniet, ko darbībā esošais process faktiski ielādēja

Pareizs fails diskā neko nepierāda par procesu, kas sākās pirms tā rediģēšanas. Pārbaudiet atlasīto profilu, galapunktu, ar kuru tas sazinājās, un vai pakalpojums kopš izmaiņām ir pārladēts. Apstipriniet arī, ka galapunkts pieder profilam, jo cita instance vai cits pakalpojums var klausīties tur, kur vecais fails gaida ko citu.

Atbalstīta profila atkārtota eksportēšana no tā paša avota ir lēts salīdzinājums, jo tas novērš nobīdi starp to, ko uzskatāt par konfigurētu, un to, ko klients faktiski sūta. Jauna atslēgas materiāla ģenerēšana ir daudz lielāks solis, un tā palīdz tikai tad, ja abi gali to pieņem kopā. Vienas puses aizstāšana lokāli no jauna rada to neatbilstību, ko centāties novērst.

Salīdziniet vadības kanālu ar datu kanālu

Divi mehānismi autentificē dažādas savienojuma daļas un tiek konfigurēti atsevišķi, kā 2.6 opciju uzziņa apraksta. tls-auth pievieno HMAC vadības kanāla paketēm un ņem virziena argumentu, kam abos partneros jābūt pretējam, savukārt tls-crypt vadības kanālu tā vietā aizsargā ar kopīgu atslēgu. Neviens no tiem nav paša datu kanāla integritātes pārbaude. Ar AEAD datu šifru šī pārbaude ir iebūvēta šifrā, tāpēc atsevišķais auth kopsavilkums netiek izmantots tā, kā ar šifru, kas nav AEAD.

Kas nozīmē, ka auth rinda, kas nokopēta no strādājošas ne-AEAD izvietošanas, var būt nebūtiska AEAD izvietošanā, un AEAD izvietošana joprojām var neizdoties vadības kanālā, ja tls-auth atslēga vai tās virziens ir nepareizs. Salīdziniet katru iestatījumu ar partneri, nevis ar atmiņā palikušu konfigurāciju.

Salīdziniet labojumu ar īpašību, no kuras atsakāties

Paketes autentifikācijas izslēgšana apklusina brīdinājumu un noņem pārbaudi, kas atrada neatbilstību, un tas nav tas pats, kas salabot profilu. Pajautājiet, no kādas īpašības atsakāties un vai dizains bez tās iztur.

Pirms kaut ko maināt, izlasiet pirmo būtisko notikumu abos galos, pēc tam mainiet tikai to neatbilstību, ko tas nosauc.

Ja nākamais mēģinājums nonāk līdz sertifikāta vai pieteikšanās kļūdai, tā ir virzība, nevis regresija: paketes slānis tagad piekrīt un savienojums ir pavirzījies tālāk. Pierakstiet iestatījumus, kas radīja izmaiņas, lai nākamais cilvēks manto skaidrojumu, nevis mīklu.