openssl dhparam -check എന്താണ് പരിശോധിക്കുന്നത്, എന്താണ് വിട്ടുപോകുന്നത്

dhparam -check വിജയിക്കുന്നത് നിങ്ങളുടെ VPN-ന്റെ Diffie-Hellman ക്രമീകരണത്തിന് മേലുള്ള വിധിപോലെ തോന്നുന്നു. അങ്ങനെയല്ല. കമാൻഡ് ഒരു പാരാമീറ്റർ ഫയലിനെ അത് പാലിക്കുന്നുവെന്ന് അവകാശപ്പെടുന്ന ഗണിതവുമായി താരതമ്യം ചെയ്യുന്നു, ഗ്രൂപ്പ് വലുപ്പം നിങ്ങളുടെ നയവുമായി ഒത്തുപോകുന്നുണ്ടോ അല്ലെങ്കിൽ ടണൽ ആ ഫയൽ ലോഡ് ചെയ്യുന്നുണ്ടോ എന്നതിനെക്കുറിച്ച് ഒന്നും പറയുന്നുമില്ല. അതിനെ സുരക്ഷാ അവലോകനമായി വായിക്കുന്നതാണ് ആദ്യം തിരുത്തേണ്ട ഊഹം.

പാരാമീറ്റർ ഫയലിൽ ഒരു അഭാജ്യ സംഖ്യയും ഒരു ജനറേറ്ററും ഉണ്ട്. സാധുത ആ സംഖ്യകളുടെ സ്വഭാവമാണ്, ബലം നിങ്ങളുടെ ഭീഷണി മാതൃകയെയും സമപദസ്ഥരെയും കുറിച്ചുള്ള വിധിയാണ്, രണ്ടും പരസ്പരം മാറ്റാനാവില്ല.

സാധുതാ പരിശോധന യഥാർഥത്തിൽ എന്ത് ഉറപ്പാക്കുന്നു

നിങ്ങളുടെ പക്കലുള്ള ഫയലിൽ പരിശോധന നടത്തി മറുപടി വായിക്കുക. openssl dhparam -in dh.pem -check -noout പാരാമീറ്റർ പരിശോധനകൾ നടത്തി എൻകോഡ് ചെയ്ത ഔട്ട്പുട്ട് അടക്കിവെക്കുന്നു. പാരാമീറ്ററുകൾ കുഴപ്പമില്ലെന്ന് കാണുന്നു എന്ന സന്ദേശം മൂല്യങ്ങൾ ഘടനാപരമായി പൊരുത്തപ്പെടുന്നു എന്നർഥം; ചെറിയ ഗ്രൂപ്പ് നിങ്ങളുടെ പരിസരത്ത് സ്വീകാര്യമാണെന്ന് അർഥമില്ല.

-dsaparam ഇല്ലാതെ സൃഷ്ടിക്കുമ്പോൾ സുരക്ഷിത അഭാജ്യ സംഖ്യകൾ ലഭിക്കുന്നു, അവിടെ (p-1)/2 ഉം അഭാജ്യമാണ്, അതുകൊണ്ടാണ് ഇത്ര സമയമെടുക്കുന്നത്. DSA ശൈലിയിലുള്ള വഴി പാരാമീറ്ററുകൾ വേഗത്തിൽ നിർമ്മിച്ച് അവയെ DH രൂപത്തിലേക്ക് മാറ്റുന്നു, OpenSSL കൈപ്പുസ്തകം അവയുടെ ഉപയോഗത്തിന് അധിക പുതിയ കീ ആവശ്യകതകൾ ചേർക്കുന്നു. രണ്ട് നിർമ്മാണങ്ങളും സെഷൻ രഹസ്യമല്ല: ഫയൽ പൊതു കോൺഫിഗറേഷൻ വസ്തുവാണ്, സർട്ടിഫിക്കറ്റിന്റെ സ്വകാര്യ കീയല്ല, നിയന്ത്രണ ചാനലിന്റെ പങ്കിട്ട രഹസ്യവുമല്ല.

ഫയൽ വിലയിരുത്തുന്നതിന് മുമ്പ് വലുപ്പവും ജനറേറ്ററും വായിക്കുക

സാധുതയുടെ ഫലം എന്താണ് പരിശോധിച്ചതെന്ന് അറിയുമ്പോൾ കൂടുതൽ അർഥം നൽകുന്നു. openssl dhparam -in dh.pem -text -noout ഉപയോഗിച്ച് പാരാമീറ്ററുകൾ പ്രിന്റ് ചെയ്ത്, പിന്നീട് അഭാജ്യ സംഖ്യയുടെ നീളവും ജനറേറ്ററിന്റെ മൂല്യവും രേഖപ്പെടുത്തുക.

ആ നീളത്തെ ശീലവുമായല്ല, രേഖപ്പെടുത്തിയ നയവുമായി താരതമ്യം ചെയ്യുക. നിങ്ങളുടെ ആവശ്യം ആധുനിക TLS സ്റ്റാക്കിന്റെ അംഗീകൃത നാമമുള്ള ഗ്രൂപ്പാണെങ്കിൽ, കൈകൊണ്ട് സൃഷ്ടിച്ച ഫയൽ തികച്ചും തെറ്റായ വസ്തുവായിരിക്കാം. രണ്ട് സംഖ്യകളും മാറ്റരേഖയിൽ എഴുതുക, അടുത്ത അവലോകകന് അവ വീണ്ടും കണ്ടെത്തേണ്ടിവരരുത്.

പരിശോധനയെ വീണ്ടും സൃഷ്ടിക്കലാക്കി മാറ്റരുത്

ഇവിടെ പരാജയരീതി പരിശോധനയെപ്പോലെ തോന്നുകയും ജനറേറ്ററായി പ്രവർത്തിക്കുകയും ചെയ്യുന്ന കമാൻഡാണ്. ബിറ്റ് നീളം ചേർക്കുമ്പോൾ, openssl dhparam -check 2048 പോലെ, പുതിയ പാരാമീറ്ററുകൾ ആവശ്യപ്പെടുന്നു, ഇൻപുട്ട് ഫയൽ അവഗണിക്കപ്പെടുന്നു. ജനറേറ്റർ ഓപ്ഷനും ഇതുതന്നെ ചെയ്യാം. പരിശോധിക്കാൻ മാത്രമാണ് ഉദ്ദേശ്യമെങ്കിൽ -in ഉം -check ഉം നൽകുക, വലുപ്പം വിവരിക്കുന്ന ഒന്നും നൽകരുത്.

ഒറിജിനൽ പാതയിൽ ഔട്ട്പുട്ട് എഴുതുന്നതും അതേ സംശയത്തിന് അർഹമാണ്, കാരണം ഫയൽ ഔട്ട്പുട്ട് അണുവല്ലെന്ന് കൈപ്പുസ്തകം മുന്നറിയിപ്പ് നൽകുന്നു. എഴുതുമ്പോൾ ഉണ്ടാകുന്ന തകർച്ച മുറിഞ്ഞ പാരാമീറ്റർ ഫയലും തുടങ്ങാത്ത സേവനവും അവശേഷിപ്പിക്കുന്നു.

ഗ്രൂപ്പിനെ പ്രോട്ടോക്കോളുമായി ചേർക്കുക, പ്രവണതയുമായല്ല

വലുപ്പ നയം ഉപകരണത്തിന് നിങ്ങൾക്കുവേണ്ടി വായിക്കാനാവാത്ത തീരുമാനമാണ്. 2048 ബിറ്റ് പരിമിത-ക്ഷേത്ര ഗ്രൂപ്പ് സാധാരണ താഴ്ന്ന പരിധിയാണ്, വലിയ ഗ്രൂപ്പുകൾ ഹാൻഡ്ഷേക്ക് സമയം ചെലവാക്കുന്നു, അതിനാൽ നിങ്ങളുടെ സ്വന്തം അടിസ്ഥാനരേഖ പറയുന്ന സംഖ്യ തിരഞ്ഞെടുത്ത് എഴുതിവെക്കുക. വ്യാപകമായി ഉപയോഗിക്കുന്ന ഗ്രൂപ്പുകൾ പൊതുവാണെന്നതുകൊണ്ട് ദുർബലമല്ല; ഇവിടെ അവ്യക്തത ഒന്നും കൂട്ടിച്ചേർക്കുന്നില്ല.

സ്റ്റാക്ക് അംഗീകൃത നാമമുള്ള ഗ്രൂപ്പുകളെ പിന്തുണയ്ക്കുന്നിടത്ത്, അവ അദ്വിതീയമായി തോന്നാൻ അസാധാരണ പാരാമീറ്ററുകൾ സൃഷ്ടിക്കുന്നതിനുപകരം ആ രേഖപ്പെടുത്തിയ ക്രമീകരണം പിന്തുടരുക. നാമമുള്ള ഗ്രൂപ്പ് സമപദസ്ഥന് തിരിച്ചറിയാനും അവലോകകന് തിരയാനും കഴിയുന്നതാണ്, അത് ആർക്കും വർഗ്ഗീകരിക്കാനാവാത്ത ഇഷ്ടാനുസൃത ഫയലിനെക്കാൾ മൂല്യമുള്ളതാണ്.

VPN ഫയൽ ലോഡ് ചെയ്യുന്നുണ്ടെന്ന് ഉറപ്പാക്കുക

ഒരു പ്രക്രിയയും വായിക്കാത്ത ശരിയായ പാരാമീറ്റർ ഫയൽ ഒന്നും മാറ്റുന്നില്ല. OpenVPN-ൽ സെർവർ നിർദ്ദേശം പാതയോടുകൂടിയ dh ആണ്, ECDH അല്ലെങ്കിൽ TLS 1.3 കീ കൈമാറ്റത്തെ ആശ്രയിക്കുന്ന വിന്യാസങ്ങൾക്ക് പകരം dh none ക്രമീകരിക്കാം. ടെംപ്ലേറ്റല്ല, പ്രവർത്തിക്കുന്ന കോൺഫിഗറേഷൻ പരിശോധിക്കുക, പിന്നീട് ക്ലയന്റുകളും സമപദസ്ഥരും ഒരേ നിർമ്മാണത്തിൽ യോജിക്കുന്നുവെന്ന് ഉറപ്പാക്കുക.

യഥാർഥത്തിൽ ആവശ്യമായ തെളിവുകളോടെ വൃത്തം അടയ്ക്കുക: ടണൽ ചർച്ച ചെയ്ത ഗ്രൂപ്പ്, ഫയലിലെ പാരാമീറ്റർ നീളം, ആ നീളം പാലിക്കുന്ന നയവരി. വിജയിച്ച പരിശോധന ആ പട്ടികയിലെ ഒരു ഇനം മാത്രമാണ്. അതിനെ മുഴുവൻ ഉത്തരമായി കാണുന്നതാണ് ചെറിയ ഗ്രൂപ്പ് പിടിക്കേണ്ടിയിരുന്ന ഓഡിറ്റിൽനിന്ന് രക്ഷപ്പെടുന്ന വഴി.