Pengesahan HMAC paket OpenVPN gagal: lapisan yang mana?

Dua kegagalan dilaporkan dengan perbendaharaan kata yang sama dan hampir tiada persamaan. Satu ialah paket yang tag pengesahannya tidak disahkan; satu lagi ialah orang yang kelayakannya ditolak. Melayan yang pertama sebagai yang kedua menghantar anda mencari kata laluan yang tidak pernah menjadi masalah.

Mesej itu menamakan lapisan, dan kerja yang berguna ialah memutuskan lapisan mana sebelum menggantikan apa-apa bahan. Membandingkan calon-calon bersebelahan ialah cara terpantas untuk melihat perbezaannya.

Dua kegagalan yang berkongsi satu perkataan

Ralat pengesahan paket timbul semasa memproses trafik: tag atau digest pada paket yang diterima tidak sepadan dengan apa yang dikira oleh penerima. Penolakan akaun berlaku selepas pertukaran log masuk dianalisis, dan ia menamakan pengguna bukan paket. Mesej ketiga, tentang kegagalan menemui HMAC dalam paket masuk, berbeza lagi, kerana di situ paket tiba tanpa unsur pengesahan yang dijangka sama sekali. Prefiks log penuh memberitahu anda yang mana satu daripada tiga itu anda ada, dan prefiks itu biasanya perkara pertama yang dibuang apabila ralat ditampal ke dalam tiket.

Perbezaan itu mengubah pembaikan. Satu memerlukan tetapan saluran yang sepadan, satu lagi keadaan akaun, dan yang ketiga profil yang tidak sepadan dengan pendengar yang dicapainya.

Bandingkan apa yang sebenarnya dimuatkan oleh proses yang berjalan

Fail yang betul pada cakera tidak membuktikan apa-apa tentang proses yang bermula sebelum ia diedit. Semak profil yang dipilih, titik akhir yang dihubungi, dan sama ada perkhidmatan telah dimuat semula sejak perubahan itu. Sahkan juga bahawa titik akhir itu milik profil, kerana contoh atau perkhidmatan lain mungkin mendengar di tempat fail lama menjangkakan sesuatu yang lain.

Mengeksport semula profil yang disokong daripada sumber yang sama ialah perbandingan murah, kerana ia menghapuskan perbezaan antara apa yang anda percaya dikonfigurasikan dan apa yang klien benar-benar hantar. Menjana bahan kunci baharu ialah langkah yang jauh lebih besar, dan ia hanya membantu jika kedua-dua hujung menerimanya bersama. Menggantikan satu pihak secara setempat mencipta semula ketidakpadanan yang anda cuba hapuskan.

Bandingkan saluran kawalan dengan saluran data

Dua mekanisme mengesahkan bahagian sambungan yang berbeza dan dikonfigurasikan secara berasingan, seperti yang rujukan pilihan 2.6 huraikan. tls-auth menambah HMAC pada paket saluran kawalan dan mengambil argumen arah yang mesti bertentangan pada kedua-dua rakan, manakala tls-crypt melindungi saluran kawalan dengan kunci dikongsi sebagai gantinya. Kedua-duanya bukan pemeriksaan integriti saluran data itu sendiri. Dengan sifer data AEAD, pemeriksaan itu terbina dalam sifer, jadi auth digest berasingan tidak digunakan seperti dengan sifer bukan AEAD.

Bermakna satu baris auth yang disalin daripada penggunaan bukan AEAD yang berfungsi mungkin tidak relevan dalam penggunaan AEAD, dan penggunaan AEAD masih boleh gagal pada saluran kawalan jika tls-auth kunci atau arahnya salah. Bandingkan setiap tetapan dengan rakan, bukan dengan konfigurasi yang diingati.

Bandingkan pembaikan dengan sifat yang anda lepaskan

Menyahdayakan pengesahan paket mendiamkan amaran dan membuang pemeriksaan yang menemui ketidakpadanan itu, yang bukan sama dengan membaiki profil. Tanyakan sifat apa yang anda lepaskan dan sama ada reka bentuk itu masih bertahan tanpanya.

Baca peristiwa berkaitan yang pertama pada kedua-dua hujung sebelum mengubah apa-apa, kemudian ubah hanya ketidakpadanan yang disebutnya.

Jika percubaan seterusnya bergerak ke ralat sijil atau log masuk, itu kemajuan dan bukan kemunduran: lapisan paket kini bersetuju dan sambungan telah bergerak ke hadapan. Catat tetapan yang menghasilkan perubahan itu, supaya orang seterusnya mewarisi penjelasan dan bukan misteri.