tls-auth व tls-crypt: OpenVPN मध्ये प्रत्येक काय संरक्षित करते

दोन्ही पर्याय एकच सामायिक की फाइल वापरतात आणि दोन्ही हँडशेक रहदारी बनावट करणे कठीण करतात, म्हणून त्यांना एकाच वैशिष्ट्याची दोन नावे मानले जाते। तसे नाही। एक नियंत्रण पॅकेटवर स्वाक्षरी करते, दुसरे ती एन्क्रिप्टही करते, आणि तुमचा पेलोड संरक्षित करणाऱ्या सायफरशी दोन्हींचा काहीही संबंध नाही।

प्रोफाइल कनेक्ट होऊ शकत नाही तेव्हा, सुरक्षा पुनरावलोकन की कशाचे संरक्षण करते असे विचारते तेव्हा, आणि अतिरिक्त फाइल टनेलला कोणत्या तरी अनिश्चित पद्धतीने एन्क्रिप्ट करते असे कोणी गृहीत धरते तेव्हा हा फरक महत्त्वाचा ठरतो।

सामायिक की प्रत्यक्षात कशाचे संरक्षण करते

या पर्यायांनी वापरलेली की नियंत्रण चॅनेलची आहे: पॅरामीटरवर चर्चा करणारी, ओळख सिद्ध करणारी आणि डेटा की तयार करणारी देवाणघेवाण। हे आधीच सामायिक केलेले रहस्य आहे जे हँडशेक पुढे जाण्यापूर्वी दोन्ही टोकांकडे असणे आवश्यक आहे। ते ओळख तपासण्यांपूर्वी असल्याने, चुकीची की चुकीच्या पासवर्डपेक्षाही लवकर संभाषण थांबवते। हाच क्रम अपयशाची पद्धत इतकी शांत का आहे हे स्पष्ट करतो।

tls-auth ते रहस्य नियंत्रण पॅकेटवर HMAC मोजण्यासाठी वापरते। वैध स्वाक्षरी नसलेले पॅकेट अधिक महाग TLS प्रक्रियेपर्यंत पोहोचण्यापूर्वीच टाकून दिले जाते, म्हणून या पर्यायाला TLS चा पर्याय नव्हे तर पहिला फिल्टर म्हटले जाते।

tls-crypt अधिक पुढे जाते आणि संरक्षित नियंत्रण रहदारी प्रमाणित करण्यासोबतच एन्क्रिप्टही करते। प्रमाणपत्रांची सामग्री, ठरलेली सायफर नावे आणि हँडशेकचे इतर तपशील आता नेटवर्कवर दिसत नाहीत, आणि की नसलेल्या निरीक्षकाला कोणती TLS आवृत्ती वापरली जात आहे हेही दिसत नाही। स्वतःची VPN ओळख उघड होण्याची भीती असलेल्या तैनातीसाठी हाच गुणधर्म तो निवडण्याचे मुख्य कारण आहे। तरीही ते गट रहस्य आहे, प्रति वापरकर्ता क्रेडेन्शियल नाही।

कोणतीही यंत्रणा ओळख जारी करत नाही। सामायिक की हे गट रहस्य आहे, आणि ज्याच्याकडे ती आहे तो तपासणीचा तो स्तर पूर्ण करू शकतो।

दोन्ही पर्याय कुठे वेगळे आहेत

दिसणारा फरक म्हणजे निरीक्षकाला काय दिसते। tls-auth सह हँडशेक दिसतो पण की शिवाय पडताळता येत नाही। tls-crypt सह हँडशेक की नसलेल्या प्रत्येकासाठी अस्पष्ट आहे।

संरचनाही वेगळी आहे। tls-auth दिशा मूल्यासह वापरले जाते, त्यामुळे एक बाजू की सामग्रीचा एक अर्धा भाग वापरते आणि दुसरी बाजू उरलेला अर्धा। tls-crypt दोन्ही दिशांमध्ये एकच की वापरते, म्हणून दिशा सूचना त्याच्या रचनेचा भाग नाही।

आधुनिक आवृत्त्यांमध्ये दोन्ही पर्याय परस्परविरोधी आहेत। प्रोफाइलमध्ये त्यापैकी एकच असावा, दोन्ही नाही, आणि सर्व्हर व क्लायंटने समान की सामग्रीसह कोणता हे मान्य करावे। जुनी सूचना नव्याच्या शेजारी ठेवणे हा सामान्य स्थलांतराचा उरलेला भाग आहे। निष्क्रिय सूचना काढून टाका जेणेकरून पुढील वाचकाला कोणता स्तर प्रत्यक्षात लागू आहे हे कळेल।

नवीन प्रकार, tls-crypt-v2, प्रत्येक क्लायंटला त्याच्या स्वतःच्या गुंडाळलेल्या कीशी जोडतो, त्यामुळे एक क्लायंट रद्द करण्यासाठी गट की पुन्हा जारी करण्याची गरज नाही। हे जाणून घेण्यासारखे आहे, पण तो वेगळा पर्याय आहे आणि येथील दोन्हींपैकी कोणत्याही समानार्थी नाही।

विसंगती का असे वाटते की काहीच होत नाही

सामायिक सामग्री जुळत नाही तेव्हा समोरचे टोक पाठवणाऱ्याला कारण न सांगता पॅकेट टाकून देतो। वाचण्यासारखी कोणतीही प्रमाणीकरण त्रुटी नसते, कारण पॅकेट ती निर्माण करणाऱ्या स्तरापर्यंत कधीच पोहोचले नव्हते।

क्लायंट पुन्हा प्रयत्न करतो, सर्व्हर काहीच बोलत नाही, आणि लक्षण नेटवर्क समस्येसारखे दिसते। मग लोक सेवा पुन्हा सुरू करतात, खात्याचा पासवर्ड पुन्हा टाइप करतात, किंवा «चाचणी» करण्यासाठी संरक्षण सूचना काढून टाकतात, जे निदान करण्याऐवजी तैनाती बदलते।

सर्व्हर लॉगमध्ये शेवटच्या पुनर्प्रयत्न ओळीऐवजी पॅकेट-स्तरीय पहिली तक्रार वाचा। दोन्ही बाजू समान की सामग्रीसह तोच पर्याय घेतात आणि की फाइल फक्त एका बाजूला पुन्हा तयार झाली नाही याची खात्री करा।

सूचना काढून टाकणे सुरक्षित दुरुस्ती नाही। ते प्रत्येक क्लायंटसाठी संरक्षणाचा एक स्तर बंद करते, आणि त्यानंतर चालणारे टनेल फक्त हेच सिद्ध करते की तोच स्तर विसंगती होता।

अजूनही वेगळे कॉन्फिगर करावे लागणारे

हे पर्याय समोरचे टोक कोण आहे याची पडताळणी करत नाहीत। प्रमाणपत्र पडताळणी, विश्वास आधार आणि अपेक्षित सर्व्हर नाव वेगळ्या आवश्यकता राहतात, आणि सामायिक की असल्यामुळे त्यातील कोणतीही ऐच्छिक होत नाही।

ते डेटा सायफरही निवडत नाहीत। ती दोन्ही टोकांच्या डेटा-चॅनेल सेटिंग्ज नियंत्रित करणारी वेगळी चर्चा आहे, आणि tls-crypt ने संरक्षित टनेलही तुम्हाला नको असलेला सायफर वापरू शकते।

शेवटी, सामायिक कीलाच काळजी आवश्यक आहे। तिला रहस्य माना, मंजूर चॅनेलद्वारे वितरित करा, आणि ती असलेला कोणीही गेल्यावर ती बदला। ती सामायिक असल्याने, तिचे उघड होणे म्हणजे ती वापरणाऱ्या प्रत्येक टोकाचे उघड होणे।