Cara OpenVPN data-ciphers memilih sifer kanal data

Terowong naik, log menunjukkan sifer dan semakan profil berterusan. Kemudian peningkatan tiba di salah satu rakan dan profil yang sama gagal dengan mesej tiada sifer kongsi, yang menghantar orang mencari direktif untuk dipadam. Perkara berguna untuk difahami ialah data-ciphers menerangkan rundingan, bukan tetapan. Satu pihak menawarkan senarai, pihak lain memilih daripadanya, dan hasilnya ialah satu algoritma yang disokong kedua-duanya. Membaca pertukaran itu menerangkan kebanyakan kegagalan ini sebelum anda mengubah satu baris.

Dua kanal, dua konfigurasi

Satu OpenVPN sesi mempunyai kanal kawalan dan kanal data. Kanal kawalan menjalankan jabat tangan TLS yang mengesahkan rakan dan merundingkan kunci. Kanal data menyulitkan paket yang membawa trafik anda.

data-ciphers mengkonfigurasi yang kedua. Kanal kawalan mempunyai pilihan sendiri, dan pemeriksaan identiti profil ialah perkara ketiga yang berasingan. Perubahan pada satu tidak membaiki yang lain, sebab itu profil boleh kelihatan betul dan masih gagal pada peringkat tertentu.

Simpan ketiga-tiganya dalam kotak masing-masing apabila anda membaca fail konfigurasi.

Baca rundingan daripada log

Log klien menamakan kedua-dua hasil apabila sambungan berjaya. Satu baris melaporkan kanal kawalan dan butiran TLS-nya, dan satu lagi melaporkan sifer kanal data yang dipilih.

Baca kedua-duanya, kerana ia menjawab soalan yang berbeza. Kegagalan kanal kawalan menghentikan sambungan sebelum mana-mana sifer data penting. Ketidakpadanan kanal data muncul selepas jabat tangan berjaya, dengan mesej tiada sifer kongsi.

Kemudian bandingkan senarai yang ditawarkan di kedua-dua pihak. Nama yang tidak disediakan oleh versi satu rakan atau backend kriptonya tidak boleh dipilih, tidak kira betapa awal ia muncul dalam senarai rakan yang lain.

Bagaimana pemilihan sebenarnya berlaku

Pelayan menolak senarai data-ciphers-nya kepada klien semasa jabat tangan, dan klien memilih entri pertama dalam senarai itu yang juga disokongnya. Oleh itu susunan milik konfigurasi pelayan, bukan konfigurasi klien.

Butiran itu menerangkan sekelompok hasil yang mengelirukan. Menyusun semula senarai klien tidak mengubah apa-apa selagi senarai pelayan menentukan. Menambah sifer yang tidak dapat disediakan klien juga tidak mengubah apa-apa, kerana klien mesti dapat menggunakan entri yang dipilihnya.

Keluaran yang lebih baharu mengubah senarai lalai dan menamakan semula pilihan yang dahulunya memuatkannya, jadi dua rakan pada versi berbeza boleh berselisih tanpa sesiapa menyunting profil. Periksa versi di setiap pihak sebelum menganggapnya salah taip.

Senarai bukan kedudukan kekuatan secara abstrak. Ia ialah set calon, dan yang dipilih ialah entri pertama yang disokong bersama dalam susunan pelayan. Itulah sebabnya dua senarai yang kelihatan berbeza boleh merundingkan sifer yang sama. Itulah juga sebabnya dua senarai yang kelihatan serupa boleh gagal.

Rakan lama memerlukan sandaran yang disengajakan

Rakan yang tidak boleh berunding langsung, kerana lebih tua daripada mekanisme itu atau telah mematikannya, memerlukan susunan keserasian yang didokumenkan. Pilihan sandaran wujud khusus untuk kes itu dan terpakai kepada rakan yang tidak menyertai rundingan.

Itu bukan sama dengan mengaktifkan setiap sifer warisan supaya mesej hilang. Senarai yang luas melemahkan sesi bagi setiap rakan, termasuk yang akan merundingkan sesuatu yang kuat.

Selaraskan kedua-dua pihak daripada menyunting nama algoritma yang tidak berkaitan. Jika peningkatan pelayan membuang pilihan lama, pembaikan itu milik pelan versi, bukan percubaan panik di klien.

Kekalkan pengesahan tanpa rosak

Ketidakpadanan kanal data bukan alasan untuk menerima pelayan yang tidak disahkan. Pengesahan sijil, nama pelayan yang dijangka dan tetapan perlindungan kanal kawalan adalah berasingan daripada pemilihan sifer dan harus bertahan dalam apa jua perubahan keserasian.

Rekodkan sifer data yang dirundingkan, versi klien dan versi pelayan bersama-sama, supaya perbandingan seterusnya bermula daripada fakta dan bukan daripada fail profil.

Selepas pembetulan yang disokong, uji sambungan awal dan rundingan semula, kerana sesi yang terbentuk sekali masih boleh gagal apabila kunci diperbaharui.

Jika terowong terbentuk dan laman masih gagal, sifer bukan lagi suspek. Teruskan dengan penghalaan dan DNS. Urutan kerja: baca kedua-dua baris log, bandingkan kedua-dua senarai, periksa versi, tambah sandaran hanya untuk rakan yang memerlukannya, kemudian uji semula laluan pembaharuan.