VPN-ийн энтропит дуусах уу? entropy_avail үнэндээ юуг харуулдаг вэ
Ачаалах үеийн гацалт ба удаан тогтсон туннель нь өөр өөр гэмтэл. Санамсаргүй байдлыг буруутгахаас өмнө үе шат, тоолуурын жинхэнэ утга, дарааллыг уншаарай.
Цөмийн санамсаргүй байдлын дуусах нь удаан VPN-ийн хувьд сэтгэл татам тайлбар бөгөөд хүмүүсийн мэдээлдэг шинж тэмдгийн хувьд бараг үргэлж буруу тайлбар юм. Санамсаргүй гаралтыг хүлээж буй хост тодорхой агшинд гацдаг, ихэвчлэн ачааллын эхэнд эсвэл түлхүүр боловсруулах үед. хурдан холбогдоод дараа нь удаан дамжуулдаг туннель нь харин дамжуулах чадварыг дүрсэлж байна. Уншиж дуусаагүй тоог засахын тулд демон суулгахаас өмнө эдгээр хоёр ажиглалтыг салгаарай.
Яагаад домог амьдардаг вэ
Хоёр асуудал хоёулаа бодит бөгөөд холоос ижил харагддаг. Шинээр ачаалсан виртуал машин дээр эхлэлийн гацалт үнэхээр тохиолддог, удаан тогтсон туннель ч мөн адил бодит. Алдаа нь хоёр түүхэд криптограф хаа нэгтээ гарч байгаа учраас хоёр дахь нь эхнийхээс үүдэлтэй гэж үзэхэд л байна. Шифрлэлт гэдэг үгэнд дамжуулсан байт бүр орчны чимээний шинэ байт хэрэглэдэг гэсэн утга огт байхгүй.
Эдгээр үүсгэгч нь тийм ажиллахгүй. Криптографын сан үр тарьсан үүсгэгчийг хадгалж, түүнээс гаралт авдаг, өөрийн бодлогоор дахин үр тарьдаг тул үнэтэй мөч нь үр тарих явдал бөгөөд тогтвортой дамжуулалт биш.
Үүсгэгч пакет бүрт юу хийдэг вэ
OpenSSL 3-д анхдагч үүсгэгчийн шатлал нь тохиргоо, төлөв байдлаас хамааран үр тарьж, дахин үр тарьдаг DRBG хуулбаруудаас бүрддэг. OpenVPN 2.6-д AEAD өгөгдлийн зам нь nonce-оо пакетын дарааллын дугаараас сесс бүрийн далд утгатай хавсран гаргаж, хуучин CBC зам нь пакет бүрт псевдо санамсаргүй IV авдаг. Аль ч загвар нь гигабайт зөөхөд шинэ цөмийн чимээний гигабайт зарцуулдаг гэсэн дүрмийг дэмждэггүй. Хоёулаа түлхүүр үүсгэх, гар барих нь үр тарих нь чухал газар гэсэн санааг дэмждэг.
CBC-ийн тохиолдлыг нэрлэх нь зүйтэй, учир нь энэ нь домогтой төстэй боловч домог биш: пакет бүрийн IV нь сангийн өөрийн дахин үр тарих хуваарийн дагуу сангийн үүсгэгчээс ирдэг, хэзээ ч пакет бүрт цөмийн дуудлагаас ирдэггүй. Хэн нэгэн байтад ногдох энтропийн зардлыг дурдахад аль сангийн хувилбар, аль кодын замыг хэмжсэнийг асуугаарай.
Хүлээлт үнэндээ хаана илэрдэг вэ
Цагийн тэмдгийг сессийн эргэн тойронд биш, үе шатуудын эргэн тойронд тавь: эхлэл, баталгаажуулалт, түлхүүр солих, дамжуулалт. Туннель ашиглах боломжтой болохоос өмнөх хүлээлт нь бага тогтвортой хурдаас өөр гомдол бөгөөд тэдгээрийн зөвхөн нэг нь санамсаргүй байдлыг заадаг. Linux-д энгийн getrandom() хүсэлт нь цөмийн санамсаргүй эх сурвалж эхлэх хүртэл блоклогдож болох тул энэ асуудлын ачааллын үеийн хувилбар нь эхэнд нь усан санг тэжээх бага зүйлтэй виртуал машин, суулгагдсан самбар дээр бодит юм.
| Үе шат | Юу ажиллуулах вэ | Хүлээлт гэсэн утгатай уншилт | Дамжуулах чадвар гэсэн утгатай уншилт |
|---|---|---|---|
| Ачаалал, ямар ч туннелиас өмнө | systemd-analyze critical-chain | туннель эхлэхээс өмнө секунд сууж байдаг нэгж | хамаарахгүй, одоохондоо юу ч дамжуулагдахгүй байна |
| Гар барилт | journalctl -u openvpn-server@server -b | эхлүүлэх дараалал дуусахаас өмнөх урт завсарлага | хамаарахгүй, туннель өргөгдөөгүй |
| Тогтсон дамжуулалт | ss -tin хажууд sar -n DEV 1 | хоосон сокет дараалалтай блоклогдсон процесс | дүүрэн дараалал, дахин илгээлт, нэг завгүй урсгал |
Тухайн цуглуулгын эхэнд хоёр хямд команд байх ёстой бөгөөд тэд хүснэгт хэрэгтэй болохоос өмнө хялбар асуултуудыг шийддэг. Тэдний уншдаг тоолуур нь зурвасын өргөний хэмжүүр биш, энтропийн бүртгэл бөгөөд нэг агшин зураг нь процесс блоклогдсон эсэх, хэр удаан хүлээсэн, түүний сан аль интерфейсийг дуудаж байгааг харуулж чадахгүй. Сэргээсний дараа авсан дээж нь гацалтыг бүрмөсөн алгасдаг тул цөмийн хувилбарыг уншилтын хажууд байлгаарай.
cat /proc/sys/kernel/random/entropy_avail
uname -rЗалсруулалтыг уншилттай тааруул
Хэрэв цөм үнэхээр эхлүүлэлтийг хүлээж байгаа бол туннель биш, платформын дэмждэг үр тарих замыг хар. Виртуал машинд хост өгсөн санамсаргүй төхөөрөмж өгч болно, жишээ нь virtio-rng, мөн дүрс бэлтгэх нь чухал, учир нь олон зочдод өөрчлөлтгүй хуулагдсан үр нь бие даасан эхлүүлэлт биш. Хэрэв сан ачааллын дараа үр тарих алдаа мэдээлбэл, цөмийн тохиргоог өөрчлөхийн оронд түүний тохируулсан эх сурвалж, нийлүүлэгчийн зан төлөвийг шалгаарай.
ss -tin dst 203.0.113.7
sar -n DEV 1 5OpenSSL-ийн үүсгэгчийн баримт бичиг нь энэ шатлал хэрхэн оролт авч, дахин үр тарих нь хэзээ болохыг тайлбарладаг бөгөөд энэ нь домогоос хамаагүй нарийн мэдэгдэл бөгөөд зөвхөн тэр хэрэгжилтэд хамаарна. Энтропийн демон бол бүх нийтийн хурдны засвар биш бөгөөд тоолуур өсгөхийн тулд суулгах нь саатал харуулахгүйгээр аюулгүй байдлын таамаглалыг өөрчилдөг. Дамжуулах чадварын хувьд өгөгдлийн замыг дага: нэг ханасан урсгал, дахин илгээлт, гадаад алдагдал, дарааллын уналт тус бүр өөр засвар шаарддаг, буфер хэмжээ нь сокетийн буферлэлтийг өөрийн дарааллын нотолгоотойгоор шийддэг.