DH файл уу, tls-auth түлхүүр үү? Хоёр OpenVPN файлыг ялгах

Хоёр файл, хоёр заавар, хоёуланг нь тохируулж буй зүйлийнхээ нэрээр нэрлэх дадал. Ингэж dh.pem tls-auth мөрөнд орж, клиент гэнэтийн түлхүүрийн форматын тухай мессежтэйгээр бүтэлгүйтдэг. Таны өмнөх шийдвэр аль файл илүү хүчтэй вэ гэдэг биш. Байршуулалтад үнэхээр ямар үүрэг хэрэгтэй вэ гэдэг бөгөөд гурван нөхцөл үүнийг шийднэ: таны TLS стек ямар түлхүүр солилцоог хэлэлцэх, хяналтын сувгийн баталгаажуулалтыг ер нь хүсэж байгаа эсэх, материал нууц хэвээр байх ёстой эсэх.

Тэдгээрт дараалан хариул, файлын асуулт өөрөө хариулна. Алгасвал зааврын нэрс бие биенээ орлож болох мэт харагдаж эхэлнэ, алдаа яг тэр байдлаас үүсдэг.

Файлын нэрнээс өмнө шошгыг унш

Файлын эхний мөр нэрнээс нь илүү мэдээлэл өгдөг, учир нь нэр бол хүний уламжлал, шошгыг хэрэгсэл үйлдвэрлэдэг. Diffie-Hellman параметрүүд BEGIN DH PARAMETERS гэсэн PEM шошготой. OpenVPN-ийн статик түлхүүр нь огт өөр бүтэц бөгөөд өөрийн гарчиг, арван зургаатын ачаалалтай.

Нэр солих нь юу ч хөрвүүлэхгүй. ta.key гэсэн нэртэй параметрийн файл одоо ч параметр, dh.pem гэсэн нэртэй статик түлхүүр одоо ч статик түлхүүр; задлагч агуулгыг уншиж, зөрүүг татгалздаг. Профайлыг засахын өмнө шалга:

head -n 1 dh.pem
head -n 1 ta.key

Ямар файл хэрэгтэйг шийдэх гурван нөхцөл

Эхний нөхцөл бол солилцоо. Хязгаарлагдмал орны Diffie-Hellman гар барилт бүлэг шаарддаг бөгөөд dh заавар нь сервер түүнд зориулж параметрүүдийг нэрлэдэг газар. Эллипс муруйн гар барилтад тэр файл огт хэрэггүй, учир нь муруй өөрөө параметрийн олонлог. Хэрэв сервер тань зөвхөн ECDHE багцуудаар хэлэлцдэг бол DH файл нэмэлт хүч биш, үхсэн ачаа.

Хоёр дахь нөхцөл бол хяналтын сувгийн баталгаажуулалт, өөрийн материалтай тусдаа функц. tls-auth файл нь хоёр талын аль аль нь эзэмшдэг хуваалцсан статик түлхүүр бөгөөд хяналтын сувгийн пакетуудад гарын үсэг зурахад хэрэглэгддэг тул баталгаажаагүй тал гар барилтыг ч гүйцээж чадахгүй. Хязгаарлагдмал орны DH хэрэглэсэн ч, хэрэглээгүй ч байдаг бөгөөд бүлгийн параметртэй ямар ч холбоогүй.

Гурав дахь нөхцөл бол нууцлал ба хуваарилалт. DH параметрүүдийг сессийг сулруулахгүйгээр нийтэлж болно, учир нь нууц утгууд гар барилт бүрт үүсдэг бөгөөд талуудыг хэзээ ч орхидоггүй. Статик түлхүүрийг нийтэлж болохгүй: энэ нь хоёр төгсгөлд ижил байт, өөрөө эргэлддэггүй, түүнийг эзэмшсэн хэн ч хяналтын сувгийн хүчинтэй гарын үсэг үйлдэж чадна. Эдгээр хоёр хариулт огт өөр харьцах дүрэмд хөтөлдөг, тиймээс нэг файл агуулахад байж болно, нөгөө нь болохгүй.

Үүрэг бүрт зөв материалыг үүсгэ

Зааварын хүлээж буй форматыг үйлдвэрлэдэг хэрэгслийг хэрэглэ, тэдгээрийн хооронд хөрвүүлэхийн оронд. OpenVPN 2.6 дахь хуваалцсан түлхүүрийн хувьд үүсгэгчийн типжсэн хэлбэр зорилгыг тодорхой заадаг.

openvpn --genkey tls-auth ta.key

Энэ команд шинэ нууц материал үүсгэдэг; одоо байгаа түлхүүрийг засварлах ч, шалгах ч үгүй, дахин ажиллуулбал бусад талуудад байхгүй өөр түлхүүр өгнө. Үүссэн файлыг хэрэгтэй талууд руу аль ч хуваалцсан нууцад хэрэглэх сувгаар хуулж, чиглэлийн уламжлалыг тогтвортой бариарай: tls-auth-тэй үед нэг тал key-direction 0, нөгөө нь key-direction 1 хэрэглэдэг.

DH параметрүүд хэрэгтэй үед параметр үүсгэлтээс ирдэг, түлхүүр үүсгэгчээс биш, үр дүн нийтийн байсан ч гарал үүсэл нь чухал. Үл мэдэгдэх эх сурвалжаас авсан бүлэг нийтийн байснаараа итгэмжлэгдэхгүй; энэ нь талуудын тань зөвшилцсөн, хэмжээ эсвэл бүтцээрээ сулраагүй бүлэг байх ёстой.

dh none юу гэсэн үг, юу гэсэн үг биш

dh none нарийн утгатай жинхэнэ заавар: хязгаарлагдмал орны параметрийн файл ачаалагдахгүй, учир нь гар барилт эллипс муруйн Diffie-Hellman хэрэглэдэг. Энэ нь ямар нэг зүйлийг сулруулах утгаар «DH алхамыг алгас» гэсэн товчлол биш бөгөөд OpenVPN-д өөр файлыг орлуулагч болгон хүлээн авахыг хэзээ ч хэлэхгүй.

Буруу уншсанаас хоёр алдаа гарна. Эхнийх нь dh none tls-auth-ийн хэрэгцээг арилгана гэж бодох, гэтэл хоёулаа өөр зүйлийг удирддаг. Хоёр дахь нь зөвхөн муруй тохиргооны хажууд хуучин dh мөрийг үлдээж, дараа нь сервер үнэхээр аль файлыг хэрэглэж байна гэж гайхах; заавар байвал файлыг уншдаг, тэнд эвдэрсэн зам нь хэлэлцэгдэх солилцоотой холбоогүй шалтгаанаар эхлэлтийг бүтэлгүй болгодог.

Буруу файл аль хэдийн байршуулагдсан бол

Профайл эзэмшигчээс зориулсан нууцыг сэргээ, тэгэх зуур гэрчилгээний шалгалтад гар хүрэхгүй. Алдаа нь форматын зөрүү, итгэлийн алдаа биш, алдааг тойрохын тулд шалгалтыг унтраах нь эхлэлтийн асуудлыг чимээгүй асуудлаар солино.

Дараа нь хүмүүсийн нэгтгэх хандлагатай хоёр үйл явдлыг салга. DH параметрийн файлыг нийтлэх нь бараг хор хөнөөлгүй, учир нь параметрүүд зохион бүтээлээрээ нийтийн байсан. tls-auth түлхүүрийг ил болгох нь өөр үйл явдал: түлхүүр нь түүнийг эзэмшсэн тал бүрийн хяналтын сувгийн пакетыг баталгаажуулдаг тул солих ажлыг нэг хост дээр биш, бүх байршуулалтын хэмжээнд зохицуулах ёстой.

Таван минутын шалгалт та аль тохиолдолд байгааг шийднэ: файл бүрийн эхний мөрийг унш, түүнд иш татсан зааврыг батал, файлын хуваарилалт материалын шаардлагад нийцэж байгааг батал. Энэ нь ажиллаж буй PKI-г дахин үүсгэхээс бага ажил бөгөөд гурван нөхцөл бүх цаг хугацаанд үүнийг л зааж байсан.