Како OpenVPN data-ciphers го избира шифрот на каналот за податоци

Тунелот се крева, дневникот покажува шифра и прегледот на профилот продолжува. Потоа при партнер пристигнува надградба и истиот профил не успева со порака за нема заедничка шифра, што ги праќа луѓето да бараат директива за бришење. Корисно е да се разбере дека data-ciphers опишува преговори, а не поставка. Едната страна нуди список, другата избира од него, а резултатот е еден алгоритам што и двете го поддржуваат. Читањето на таа размена ги објаснува повеќето од овие неуспеси пред да смените ред.

Два канала, две конфигурации

Една OpenVPN сесија има контролен канал и канал за податоци. Контролниот канал го извршува TLS ракувањето што ги автентификува партнерите и договара клучеви. Каналот за податоци ги шифрира пакетите што го носат вашиот сообраќај.

data-ciphers го конфигурира вториот. Контролниот канал има свои опции, а проверките на идентитетот на профилот се трето, одделно прашање. Промената на едното не го поправа другото, затоа профилот може да изгледа исправен и сепак да не успее во одредена фаза.

Држете ги трите во одделни кутии кога читате конфигурациска датотека.

Прочитајте ги преговорите од дневникот

Дневникот на клиентот ги наведува двата резултата кога врската успева. Еден ред известува за контролниот канал и неговите TLS детали, а друг за избраната шифра на каналот за податоци.

Прочитајте ги двата, бидејќи одговараат на различни прашања. Неуспех на контролниот канал ја запира врската пред која било шифра за податоци да стане важна. Несовпаѓање на каналот за податоци се појавува по успешно ракување, со порака за нема заедничка шифра.

Потоа споредете ги понудените списоци од двете страни. Име што верзијата на едниот партнер или неговата крипто основа не го дава не може да се избере, без оглед колку рано се појавува во списокот на другиот партнер.

Како всушност се случува изборот

Серверот го турка својот data-ciphers список кон клиентот за време на ракувањето, а клиентот го избира првиот запис во тој список што и самиот го поддржува. Според тоа, редот им припаѓа на конфигурацијата на серверот, а не на клиентот.

Тој детаљ објаснува една класа збунувачки резултати. Прередувањето на списокот на клиентот не менува ништо додека одлучува списокот на серверот. Додавањето шифра што клиентот не може да ја даде исто така не менува ништо, бидејќи клиентот мора да може да го користи записот што го избира.

Поновите изданија го сменија стандардниот список и ја преименуваа опцијата што порано го држеше, така што два партнери на различни верзии можат да не се согласат без никој да уредува профил. Проверете ја верзијата на секоја страна пред да претпоставите печатна грешка.

Списокот не е рангирање на сила во апстрактна смисла. Тоа е множество кандидати, а избраниот е првиот заемно поддржан запис во редот на серверот. Затоа два списоци што изгледаат различно можат да договорат иста шифра. Затоа и два списоци што изгледаат исто можат да не успеат.

Повозрасните партнери бараат намерна резервна опција

Партнер што воопшто не може да преговара, затоа што е постар од механизмот или го исклучил, бара документиран договор за компатибилност. Резервната опција постои точно за тој случај и се однесува на партнери што не учествуваат во преговорите.

Тоа не е исто како вклучување на секоја стара шифра за да исчезне порака. Широк список ја ослабува сесијата за секој партнер, вклучително и оние што би договориле нешто силно.

Координирајте ги двете страни наместо да уредувате неврзани имиња на алгоритми. Ако надградба на серверот отстранила стара опција, исправката припаѓа на планот за верзии, а не на брзање кај клиентот.

Зачувајте ја проверката недопрена

Несовпаѓање на каналот за податоци не е причина да прифатите непроверен сервер. Проверката на сертификатот, очекуваното име на серверот и поставките за заштита на контролниот канал се одделени од изборот на шифра и треба да преживеат секоја промена на компатибилноста.

Запишете ја заедно договорената шифра за податоци, верзијата на клиентот и верзијата на серверот, за следната споредба да почне од факти, а не од датотеката на профилот.

По поддржана исправка тестирајте ја почетната врска и повторните преговори, бидејќи сесија што се воспоставува еднаш сѐ уште може да не успее кога клучевите се обновуваат.

Ако тунелот се воспостави, а сајтовите сѐ уште не работат, шифрата веќе не е осомничена. Продолжете со рутирање и DNS. Ред на работа: прочитајте ги двата реда во дневникот, споредете ги двата списоци, проверете ги верзиите, додајте резервна опција само за партнер на кого му е потребна, потоа повторно тестирајте ја патеката за обновување.