Илүү том OpenVPN түлхүүр яагаад дахин түлхүүрлэх таймерыг арилгахгүй вэ

AES-256 эсвэл илүү урт түлхүүр сонгох нь тухайн түлхүүрийг хэр удаан ашиглаж болох талаар юу ч хэлэхгүй. Түлхүүрийн хүч нь алгоритмыг тодорхойлдог; дахин түлхүүрлэх бодлого нь сесс хэзээ шинэ түлхүүрийн материал гаргахыг шийддэг. Байршуулалт боломжтой хамгийн хүчтэй шифрийг сонгоод ч шинэчлэлтийн талаар алдаа гаргаж болно, учир нь эдгээр хоёр шийдвэрийг өөр өөр газар гаргадаг. Тэдгээрийг хольж хутгавал шаардлагагүй шифр солих эсвэл өөрийн бодлогоос чимээгүйгээр урт насалдаг сесс үүсдэг.

Шифрт хүрэхийн өмнө дахин түлхүүрлэх тохиргоог уншаад, үүнийг хийхдээ хоёр талыг хоёуланг нь уншаарай.

Түлхүүрийн хүч ба түлхүүрийн наслалт өөр өөр асуултад хариулдаг

Шифр ба түлхүүрийн хэмжээ нь баригдсан трафик руу хийх халдлага хэр үнэтэй болохыг хязгаарладаг. Дахин түлхүүрлэх интервал нь нэг түлхүүр хэр их трафикийг хамгаалж, ил болсон түлхүүр хэр удаан ашигтай байхыг хязгаарладаг. Эдгээр нь бие даасан тохируулга бөгөөд илүү хүчтэй шифр сессийн аюулгүй наслалтыг уртасгадаггүй. «AES-256 ашиглана уу» гэж хэлдэг ихэнх заавар нь шинэчлэлтийн талаар дуугүй байдаг, учир нь шинэчлэлт бол алгоритмын сонголт биш, бодлогын асуудал юм.

Хоёуланг нь байршуулалтын тэмдэглэлд бичээрэй: өгөгдлийн сувгийг юу хамгаалж, түүний түлхүүрүүдийн солилтыг юу өдөөдөг.

Дахин түлхүүрлэхэд гурван триггер байдаг бөгөөд аль ч тал тэдгээрийг ажиллуулж болно

OpenVPN 2.6 нь байт, пакет, өнгөрсөн хугацаанд үндэслэн дахин хэлэлцээрийн тусдаа триггерүүдийг баримтжуулдаг. Цаг хугацааны триггер нь ихэнх байршуулалтын анхдагч утга дээр үлдээдэг зүйл бөгөөд энэ нь тайван туннель ч хуваарийн дагуу дахин түлхүүрлэдэг гэсэн үг. Аль ч тал солилцыг эхлүүлж болох бөгөөд эхлүүлээгүй тал нь дагадаг. Тиймээс нэг талд таймерыг өөрчлөх нь сессийн зан төлөвийг тодорхойлохгүй; бодит утга нь эхлээд эхэлдэг талынх юм.

Байт ба пакетын триггерүүд нь өндөр дамжуулах чадвар эсвэл жижиг пакетын ачаалалд чухал бөгөөд зөвхөн цаг хугацаанд суурилсан бодлого нь нэг түлхүүрт төлөвлөснөөс хамаагүй илүү өгөгдөл хамгаалах боломж олгоно. Хэрэв эдгээр тоолуур унтарсан хэвээр байвал анхдагчийг шалгахгүй орхихын оронд тэмдэглэлд санаатайгаар бичээрэй.

Дахин түлхүүрлэлт нь баталгаажуулалтын урсгалыг илчилдэг

Дахин хэлэлцээр нь шинэ TLS гар барилт бөгөөд баталгаажуулалтын зам дахин ажиллана. Нэг удаагийн код, техник хангамжийн токен эсвэл RADIUS сорилт ашигладаг байршуулалтууд үүнийг хүнд замаар мэддэг: эхний холболт ажиллаад, нэг цагийн дараа хоёр дахь гар барилт аль хэдийн ашигласан кодыг шаардахад сесс үхдэг. auth-gen-token нь энэ цоорхойг нөхөхөөр оршиж, сервер шинэ интерактив нэвтрэлт шаардахын оронд дахин хэлэлцээрт богино хугацааны токен олгож болно.

Үүнийг оператортой хамт шийдэх ажлын урсгалын асуудал гэж үзээрэй, шинэчлэлтийг унтраах ёстой гэсэн нотолгоо биш.

Шинэчлэлтийг ачааллын дор туршиж үзээрэй, нэг минутын сесс дотор биш

Холбогдоод нэг удаа ping хийгээд салдаг хүлээн авалтын тест хэзээ ч дахин түлхүүрлэлтэд хүрдэггүй. Тохируулсан триггерийг давахад хангалттай урт сесс ажиллуулж, бүх хугацаанд дамжуулалтыг ажиллуулж байгаад, шинэ гар барилтыг хоёр талын логоос хянаарай. Дараа нь бүтэлгүйтлийн замыг туршаарай: дахин хэлэлцээрийг дуусгаж чадахгүй бол клиент юу хийдэг. Цэвэр унадаг туннель нь үхсэн сесс рүү илгээсээр байгаа туннелиас илүү хялбар оношлогддог.

Амжилттай том дамжуулалтыг криптографын босгоны нотолгоо гэж бүү уншаарай. Энэ нь зам ба тоолуурууд тэр хэмжээний трафикийг даван туулсныг л харуулна.

Хоёр сонголтыг хоёуланг нь баримтжуулаарай

Бүртгэлд хоёр мөр хэрэгтэй: пакетуудыг хэрхэн хамгаалдаг, тэр хамгаалалт хэзээ солигддог. Утга бүрийн эрх мэдлийг нэмээрэй, учир нь шифр түгээлтийн анхдагчаас ирж болох бол таймер дотоод бодлогоос ирдэг. Ирээдүйн оператор конфигийн файлаас аль нэгийг нь ч таамаглах шаардлагагүй байх ёстой.

Хэрэв нийцэл үл хамаарах зүйлийг шаардвал хувилбар, дуусах огноогоор хязгаарлаарай. Өөрийн шалтгаанаас урт насалдаг үл хамаарах зүйл нь хэн ч сонгосноо санахгүй бодлого болдог.