openssl dhparam -check काय तपासते आणि काय सुटते

dhparam -check पास होणे हे तुमच्या VPN च्या Diffie-Hellman सेटअपबद्दलच्या निर्णयासारखे वाटते। तसे नाही। हा आदेश एका पॅरामीटर फाइलची ती पूर्ण करते असे म्हणणाऱ्या अंकगणिताशी तुलना करतो, आणि गटाचा आकार तुमच्या धोरणाशी जुळतो का किंवा बोगदा ती फाइल लोड करतो का याबद्दल काहीही सांगत नाही। ते सुरक्षा पुनरावलोकन म्हणून वाचणे ही पहिली दुरुस्त करण्यासारखी गृहीतक आहे।

पॅरामीटर फाइलमध्ये एक मूळ संख्या आणि एक जनरेटर असतो। वैधता त्या संख्यांचा गुणधर्म आहे, तर ताकद ही तुमच्या धोका मॉडेलबद्दल आणि तुमच्या समकक्षांबद्दलची मूल्यमापन आहे, आणि दोन्ही अदलाबदल करण्यायोग्य नाहीत।

वैधता तपासणी प्रत्यक्षात काय पुष्टी करते

तुमच्याकडे असलेल्या फाइलवर तपासणी चालवा आणि उत्तर वाचा। openssl dhparam -in dh.pem -check -noout पॅरामीटर तपासण्या करतो आणि एन्कोड केलेले आउटपुट दाबतो। पॅरामीटर ठीक दिसतात असा संदेश म्हणजे मूल्ये संरचनात्मकदृष्ट्या सुसंगत आहेत; याचा अर्थ छोटा गट तुमच्या वातावरणात स्वीकारार्ह आहे असा नाही।

-dsaparam शिवाय निर्मिती सुरक्षित मूळ संख्या देते, जिथे (p-1)/2 सुद्धा मूळ आहे, म्हणूनच एवढा वेळ लागतो। DSA शैलीचा मार्ग पॅरामीटर जलद बांधतो आणि त्यांना DH स्वरूपात रूपांतरित करतो, आणि OpenSSL पुस्तिका त्यांच्या वापराशी ताज्या किल्ल्यांच्या अतिरिक्त अटी जोडते। दोन्ही रचनांपैकी कोणतीही सत्र गुप्त नाही: फाइल सार्वजनिक संरचना सामग्री आहे, प्रमाणपत्राची खाजगी किल्ली नाही आणि नियंत्रण चॅनेलचे सामायिक गुप्त नाही।

फाइल जोखण्यापूर्वी आकार आणि जनरेटर वाचा

वैधतेचा निकाल तेव्हा अधिक अर्थ देतो जेव्हा तुम्हाला माहीत असते काय पडताळले गेले। openssl dhparam -in dh.pem -text -noout ने पॅरामीटर छापा, नंतर मूळ संख्येची लांबी आणि जनरेटरचे मूल्य नोंदवा।

ती लांबी सवयीशी नाही, लिखित धोरणाशी तुलना करा। तुमची आवश्यकता आधुनिक TLS स्टॅकचा मंजूर नामांकित गट असेल, तर हाताने निर्माण केलेली फाइल पूर्णपणे चुकीची कलाकृती असू शकते। दोन्ही संख्या बदल नोंदीत लिहा जेणेकरून पुढील पुनरावलोककाला त्या पुन्हा काढाव्या लागणार नाहीत।

तपासणीचे पुनर्निर्मितीत रूपांतर करू नका

येथे अयशस्वी होण्याची पद्धत अशी आज्ञा आहे जी तपासणीसारखी दिसते पण जनरेटरसारखी वागते। बिट लांबी जोडल्यास, जसे openssl dhparam -check 2048 मध्ये, नवीन पॅरामीटर मागितले जातात आणि इनपुट फाइल दुर्लक्षित होते। जनरेटर पर्यायही तसेच करू शकतो। जर तुम्हाला फक्त पाहायचे असेल, तर -in आणि -check द्या आणि आकार वर्णन करणारे काहीही देऊ नका।

मूळ मार्गावर आउटपुट लिहिणे त्याच संशयास पात्र आहे, कारण पुस्तिका इशारा देते की फाइल आउटपुट अणु नाही। लिहिताना क्रॅश झाल्यास कापलेली पॅरामीटर फाइल आणि सुरू न होणारी सेवा राहते।

गटाला प्रोटोकॉलशी जुळवा, ट्रेंडशी नाही

आकाराचे धोरण हा असा निर्णय आहे जो साधन तुमच्यासाठी वाचू शकत नाही। 2048 बिटचा मर्यादित क्षेत्र गट ही सामान्य किमान मर्यादा आहे आणि मोठे गट हातमिळवणीचा वेळ घेतात, म्हणून तुमची स्वतःची आधाररेषा जी संख्या सांगते ती निवडा आणि लिहून ठेवा। मोठ्या प्रमाणात वापरले जाणारे गट सार्वजनिक असल्यामुळे कमकुवत नाहीत; येथे अस्पष्टता काहीही जोडत नाही।

जिथे स्टॅक मंजूर नामांकित गटांना समर्थन देतो, तिथे त्यांना अनोखे दिसण्यासाठी असामान्य पॅरामीटर तयार करण्याऐवजी ती नोंदवलेली मांडणी अनुसरा। नामांकित गट ही अशी गोष्ट आहे जी समकक्ष ओळखू शकतो आणि पुनरावलोकक शोधू शकतो, जी कोणीही वर्गीकृत करू न शकणाऱ्या सानुकूल फाइलपेक्षा अधिक मूल्यवान आहे।

VPN फाइल लोड करते याची खात्री करा

कोणतीही प्रक्रिया न वाचणारी योग्य पॅरामीटर फाइल काहीही बदलत नाही। OpenVPN मध्ये सर्व्हर निर्देश मार्गासह dh आहे, आणि ECDH किंवा TLS 1.3 किल्ली देवाणघेवाणीवर अवलंबून असलेली तैनाती त्याऐवजी dh none सेट करू शकते। टेम्पलेट नाही, चालू संरचना तपासा, नंतर ग्राहक आणि समकक्ष तीच रचना वाटाघाटी करतात याची खात्री करा।

खऱ्या अर्थाने आवश्यक असलेल्या पुराव्यांनी चक्र बंद करा: बोगद्याने वाटाघाटी केलेला गट, फाइलमधील पॅरामीटरची लांबी आणि ती लांबी पूर्ण करणारी धोरणाची ओळ। पास झालेली तपासणी त्या यादीतील एकच बाब आहे। तिला संपूर्ण उत्तर मानणे हाच मार्ग आहे ज्यामुळे छोटा गट ज्या ऑडिटने त्याला पकडायचे होते त्यातून बचावतो।