openssl dhparam -check юу шалгаж, юуг алгасдаг вэ

dhparam -check давах нь таны VPN-ийн Diffie-Hellman тохиргооны талаарх шийдвэр мэт санагддаг. Тийм биш. Команд нэг параметрийн файлыг өөрөө биелүүлнэ гэж мэдэгдэж буй арифметиктай харьцуулдаг бөгөөд бүлгийн хэмжээ таны бодлогод нийцэж байгаа эсэх, эсвэл туннель тэр файлыг ачаалж байгаа эсэх талаар юу ч хэлдэггүй. Үүнийг аюулгүй байдлын хяналт гэж унших нь хамгийн түрүүнд засах ёстой таамаглал юм.

Параметрийн файлд анхны тоо ба генератор агуулагдана. Хүчинтэй байдал нь тэдгээр тооны шинж чанар, харин хүч чадал нь таны аюулын загвар, түншүүдийн талаарх дүгнэлт бөгөөд хоёрыг сольж болохгүй.

Хүчинтэй байдлын шалгалт юуг үнэхээр баталдаг вэ

Байгаа файл дээр шалгалтыг ажиллуулж, хариуг уншина уу. openssl dhparam -in dh.pem -check -noout нь параметрийн шалгалтуудыг гүйцэтгэж, кодлогдсон гаралтыг дардаг. Параметрүүд хэвийн харагдаж байна гэсэн мэдээлэл нь утгууд бүтцийн хувьд уялдаатай гэсэн үг; богино бүлэг таны орчинд хүлээн зөвшөөрөгдөнө гэсэн үг биш.

Параметрүүдийг -dsaparam сонголтгүйгээр үүсгэх нь аюулгүй анхны тоо гаргадаг бөгөөд тэнд (p-1)/2 мөн анхны тоо учир ийм удаан үргэлжилдэг. DSA хэв маягийн зам параметрийг илүү хурдан бүтээж, DH хэлбэрт хөрвүүлдэг бөгөөд OpenSSL гарын авлага тэдгээрийн хэрэглээнд шинэ түлхүүрийн нэмэлт шаардлагуудыг хавсаргадаг. Хоёр бүтцийн аль нь ч сессийн нууц биш: файл нь нийтийн тохиргооны материал, гэрчилгээний хувийн түлхүүр ч биш, хяналтын сувгийн хуваалцсан нууц ч биш.

Файлыг үнэлэхийн өмнө хэмжээ ба генераторыг уншина уу

Хүчинтэй байдлын үр дүн юу шалгасныг мэдэх үед илүү утгатай. Параметрүүдийг openssl dhparam -in dh.pem -text -noout ашиглан хэвлэж, дараа нь анхны тооны урт ба генераторын утгыг тэмдэглэнэ үү.

Тэр уртыг зуршилтай биш, бичмэл бодлоготой харьцуул. Хэрэв таны шаардлага орчин үеийн TLS стекийн зөвшөөрөгдсөн нэрт бүлэг бол гар аргаар үүсгэсэн файл огт буруу артефакт байж болно. Хоёр тоог өөрчлөлтийн бүртгэлд бичээрэй, дараагийн хянагч дахин гаргах шаардлагагүй болно.

Шалгалтыг дахин үүсгэх болгохгүй байгаарай

Энд алдааны горим нь шалгалт мэт харагдаж, генератор мэт ажилладаг команд юм. Бит урт нэмэх нь openssl dhparam -check 2048 шиг шинэ параметр шаардаж, оролтын файлыг үл тоомсорлодог. Генераторын сонголт мөн адил хийдэг. Зөвхөн үзэх гэж байсан бол -in ба -check өгч, хэмжээг дүрсэлсэн юу ч өгөхгүй байх хэрэгтэй.

Гаралтыг анхны зам дээр бичих нь мөн адил сэжигтэй, учир нь гарын авлага файл руу гаралт атомын бус гэж анхааруулдаг. Бичих үеийн сүйрэл таслагдсан параметрийн файл ба эхлэхгүй үйлчилгээ үлдээдэг.

Бүлгийг протоколд нийцүүл, чиг хандлагад биш

Хэмжээний бодлого нь хэрэгсэл таны өмнөөс уншиж чадахгүй шийдвэр юм. 2048 битийн төгсгөлөг орчмын бүлэг нийтлэг доод хязгаар бөгөөд том бүлгүүд гар барих хугацаа шаарддаг тул өөрийн суурь шугамд заасан тоог сонгож бичиж аваарай. Өргөн хэрэглэгддэг бүлгүүд нийтийн учраас сул биш; энд нууцлаг байдал юу ч нэмэхгүй.

Стек зөвшөөрөгдсөн нэрт бүлгүүдийг дэмждэг газарт тэднийг өвөрмөц харагдуулахын тулд ер бусын параметр үүсгэхийн оронд тэр баримтжуулсан зохион байгуулалтыг дагаарай. Нэрт бүлэг бол түнш таньж, хянагч хайж олох боломжтой зүйл бөгөөд хэн ч ангилж чадахгүй захиалгат файлаас илүү үнэ цэнэтэй.

VPN файлыг ачаалж байгаа эсэхийг баталгаажуулаарай

Ямар ч процесс уншдаггүй зөв параметрийн файл юу ч өөрчилдөггүй. OpenVPN-д серверийн заавар нь замтай dh бөгөөд ECDH эсвэл TLS 1.3 түлхүүр солилцоонд тулгуурласан байршуулалтууд оронд нь dh none тохируулж болно. Загвар биш, ажиллаж буй тохиргоог шалгаад, клиентүүд болон түншүүд ижил бүтэц дээр тохиролцож байгаа эсэхийг баталгаажуулаарай.

Үнэхээр хэрэгтэй нотолгоогоор мөчлөгийг хаа: туннелийн тохиролцсон бүлэг, файл дахь параметрийн урт, тэр уртыг хангаж буй бодлогын мөр. Давсан шалгалт бол тэр жагсаалтын нэг зүйл. Үүнийг бүх хариулт гэж үзэх нь богино бүлэг өөрийг нь барих ёстой байсан аудитаас хэрхэн мултарч үлддэг зам юм.