OpenVPN पॅकेट HMAC प्रमाणीकरण अयशस्वी: कोणता स्तर?

दोन अयशस्वीता एकाच शब्दसंग्रहात नोंदवल्या जातात आणि त्यांच्यात जवळपास काहीही सामायिक नाही। एक म्हणजे ज्या पॅकेटचा प्रमाणीकरण टॅग सत्यापित झाला नाही; दुसरा म्हणजे ज्या व्यक्तीची ओळखपत्रे नाकारली गेली। पहिल्याला दुसरा मानल्यास तुम्ही अशा पासवर्डच्या शोधात जाल जो कधीच समस्या नव्हता।

संदेश एका स्तराचे नाव घेतो, आणि उपयुक्त काम म्हणजे कोणतीही सामग्री बदलण्यापूर्वी कोणता स्तर हे ठरवणे। उमेदवारांची शेजारी शेजारी तुलना करणे हा फरक पाहण्याचा सर्वात जलद मार्ग आहे।

एक शब्द सामायिक करणाऱ्या दोन अयशस्वीता

ट्रॅफिक प्रक्रिया करताना पॅकेट-प्रमाणीकरण त्रुटी उद्भवते: प्राप्त पॅकेटवरील टॅग किंवा डायजेस्ट प्राप्तकर्त्याने गणना केलेल्याशी जुळला नाही। खाते नाकारणे लॉगिन देवघेवीचे विश्लेषण झाल्यानंतर होते, आणि ते पॅकेटऐवजी वापरकर्त्याचे नाव घेते। तिसरा संदेश, येणाऱ्या पॅकेटमध्ये HMAC न सापडण्याबद्दल, पुन्हा वेगळा आहे, कारण तिथे पॅकेट अपेक्षित प्रमाणीकरण घटकाशिवायच आले। पूर्ण लॉग प्रीफिक्स तुमच्याकडे तीनपैकी कोणता आहे ते सांगते, आणि तिकिटात त्रुटी चिकटवताना प्रीफिक्सच सहसा पहिले काढले जाते।

हा फरक दुरुस्ती बदलतो। एकाला चॅनेल सेटिंग्ज जुळवणे आवश्यक आहे, दुसऱ्याला खात्याची स्थिती, आणि तिसऱ्याला अशी प्रोफाइल जी गाठलेल्या श्रोत्याशी जुळत नाही।

चालू असलेल्या प्रक्रियेने प्रत्यक्षात काय लोड केले याची तुलना करा

डिस्कवरील बरोबर फाइल ती संपादित होण्यापूर्वी सुरू झालेल्या प्रक्रियेबद्दल काहीही सिद्ध करत नाही। निवडलेली प्रोफाइल, संपर्क केलेला एंडपॉइंट, आणि बदलानंतर सेवा पुन्हा लोड झाली आहे का, हे तपासा। एंडपॉइंट त्या प्रोफाइलचाच आहे याचीही खात्री करा, कारण जुन्या फाइलला वेगळे काही अपेक्षित असताना दुसरे इन्स्टन्स किंवा दुसरी सेवा तिथे ऐकत असू शकते।

त्याच स्रोतातून समर्थित प्रोफाइल पुन्हा निर्यात करणे स्वस्त तुलना आहे, कारण तुम्ही कॉन्फिगर केलेले आहे असे मानता आणि क्लायंट प्रत्यक्षात पाठवते यातील तफावत ते काढून टाकते। नवीन की सामग्री तयार करणे हे खूप मोठे पाऊल आहे, आणि दोन्ही टोके ते एकत्र स्वीकारली तरच उपयोगी ठरते। एक बाजू स्थानिक पातळीवर बदलल्यास तुम्ही काढू पाहत असलेली विसंगती पुन्हा तयार होते।

नियंत्रण चॅनेलची डेटा चॅनेलशी तुलना करा

दोन यंत्रणा कनेक्शनचे वेगवेगळे भाग प्रमाणित करतात आणि स्वतंत्रपणे कॉन्फिगर होतात, जसे 2.6 पर्याय संदर्भ सांगतो। tls-auth नियंत्रण-चॅनेल पॅकेटमध्ये HMAC जोडते आणि दोन पीअर्सवर विरुद्ध असावी अशी दिशा-वितर्क घेते, तर tls-crypt त्याऐवजी नियंत्रण चॅनेल सामायिक कीने संरक्षित करते। यापैकी कोणतेही डेटा चॅनेलची स्वतःची अखंडता तपासणी नाही। AEAD डेटा सायफरसह ती तपासणी सायफरमध्येच अंगभूत असते, म्हणून auth वेगळा डायजेस्ट AEAD नसलेल्या सायफरप्रमाणे वापरला जात नाही।

याचा अर्थ, कार्यरत AEAD नसलेल्या तैनातीतून नकल केलेली auth ओळ AEAD तैनातीत अप्रस्तुत असू शकते, आणि AEAD तैनाती नियंत्रण चॅनेलवर अद्याप अयशस्वी होऊ शकते, जर tls-auth की किंवा तिची दिशा चुकीची असेल। प्रत्येक सेटिंगची तुलना पीअरशी करा, लक्षात ठेवलेल्या कॉन्फिगरेशनशी नाही।

दुरुस्तीची तुलना तुम्ही सोडत असलेल्या गुणधर्माशी करा

पॅकेट प्रमाणीकरण बंद केल्याने इशारा शांत होतो आणि विसंगती शोधणारी तपासणी काढून टाकली जाते, जे प्रोफाइल दुरुस्त करण्यासारखे नाही। तुम्ही कोणता गुणधर्म सोडत आहात आणि त्याशिवाय रचना टिकते का, हे विचारा।

काहीही बदलण्यापूर्वी दोन्ही टोकांवर पहिली संबंधित घटना वाचा, नंतर ते ज्याचे नाव घेते ती विसंगती बदला।

पुढचा प्रयत्न प्रमाणपत्र किंवा लॉगिन त्रुटीपर्यंत पोहोचत असेल, तर ती घसरण नाही तर प्रगती आहे: पॅकेट स्तर आता सहमत आहे आणि कनेक्शन पुढे गेले आहे। बदल घडवणाऱ्या सेटिंग्ज नोंदवा, जेणेकरून पुढच्या व्यक्तीला कोडे नाही तर स्पष्टीकरण वारसा म्हणून मिळेल।