VPN jispiċċa mill-entropija? X'inhuma verament juri entropy_avail
Waqfien fil-boot u tunnel stabbilit bil-mod huma żewġ ħsarat differenti. Aqra l-istadju, it-tifsira vera tal-kontrollur u l-kju qabel ma takkuża lill-każwalità.
Li jispiċċa l-każwali tal-kernel hija spjegazzjoni attraenti għal VPN bil-mod, u kważi dejjem dik żbaljata għas-sintomu li jirrappurtaw in-nies. Host li jistenna output każwali jieqaf f'mument partikolari, normalment kmieni fil-boot jew waqt l-immaniġġjar taċ-ċwievet. Tunnel li jikkonnettja malajr u mbagħad jittrasferixxi bil-mod qed jiddeskrivi minflok it-throughput. Aqsam dawn iż-żewġ osservazzjonijiet qabel ma tinstalla daemon biex issewwi numru li għadek ma spiċċajtx taqrah.
Għaliex il-mit jibqa' ħaj
Iż-żewġ problemi huma reali u minn bogħod jidhru l-istess. Waqfien tal-bidu fuq magna virtwali li għadha kif ibbootjat jiġru tassew, u tunnel stabbilit bil-mod huwa daqstant reali. L-iżball huwa li wieħed jassumi li t-tieni huwa kkawżat mill-ewwel għax il-kriptografija tidher x'imkien fiż-żewġ stejjer. Xejn fil-kelma ċifrar ma jimplika li kull byte trasferit jikkonsma byte ġdid ta' storbju ambjentali.
Il-generaturi mhumiex hekk jaħdmu. Librerija kriptografika żżomm generatur b'żerriegħa u tiġbed output minnu, terġa' żżerriegħa skont il-politika tagħha stess, għalhekk il-mument għali huwa ż-żerriegħa u mhux it-trasferiment stabli.
X'jagħmel generatur għal kull pakkett
F'OpenSSL 3 il-ġerarkija tal-generatur default tinbena minn istanzi DRBG li jiżżerriegħu u jerġgħu jiżżerriegħu skont il-konfigurazzjoni u l-istat. Fi OpenVPN 2.6 il-passaġġ tad-data AEAD jiddedudi n-nonce tiegħu min-numru tas-sekwenza tal-pakkett flimkien ma' valur impliċitu għal kull sessjoni, filwaqt li l-passaġġ CBC eqdem jiġbed IV psewdo-każwali għal kull pakkett. L-ebda mudell ma jappoġġja r-regola li ċ-ċaqliq ta' gigabyte jikkonsma gigabyte ta' storbju ġdid tal-kernel. It-tnejn jappoġġjaw l-idea li l-ġenerazzjoni taċ-ċwievet u l-handshakes huma l-post fejn iż-żerriegħa tgħodd.
Il-każ CBC jistħoqqlu isem għax jidher bħall-mit u mhuwiex: l-IV tiegħu għal kull pakkett ġej mill-generatur tal-librerija skont l-iskeda ta' żerriegħa mill-ġdid tal-librerija stess, qatt minn sejħa lill-kernel għal kull pakkett. Meta xi ħadd jikkwota spiża ta' entropija għal kull byte, staqsi liema verżjoni tal-librerija u liema passaġġ tal-kodiċi kejlu.
Fejn verament jidher l-istennija
Qiegħed timbri tal-ħin madwar l-istadji u mhux madwar is-sessjoni: bidu, awtentikazzjoni, bidla taċ-ċavetta u trasferiment. Stennija qabel ma t-tunnel ikun użabbli hija lment differenti minn rata kostanti baxxa, u waħda biss minnhom tindika l-każwalità. Fuq Linux talba getrandom() normali tista' timblokka sakemm is-sors każwali tal-kernel jiġi inizjalizzat, u għalhekk il-verżjoni tal-boot ta' dan il-problema hija reali fuq magni virtwali u bordijiet inkorporati li għandhom ftit x'jgħallmu l-pool kmieni.
| Stadju | X'għandu jiġi eżegwit | Qari li jfisser stennija | Qari li jfisser throughput |
|---|---|---|---|
| Boot, qabel kull tunnel | systemd-analyze critical-chain | unit li toqgħod sekondi qabel ma jibda t-tunnel | mhux applikabbli, għadu xejn ma qed jiġi trasferit |
| Handshake | journalctl -u openvpn-server@server -b | vojt twil qabel ma tispiċċa s-sekwenza tal-inizjalizzazzjoni | mhux applikabbli, it-tunnel mhux 'il fuq |
| Trasferiment stabbilit | ss -tin ħdejn sar -n DEV 1 | proċess imblukkat b'kju tas-socket vojta | kju mimlija, trażmissjonijiet mill-ġdid u ħajta waħda mqabbda |
Żewġ kmandi irħas jappartjenu għall-bidu ta' dik il-ġbir, u dawn isolvu l-mistoqsijiet faċli qabel ma t-tabella tkun saħansitra meħtieġa. Il-kontrollur li jaqraw huwa kontabilità tal-entropija, mhux metru tal-wisa' tal-banda, u snapshot wieħed ma jistax juri li proċess huwa mblukkat, kemm stenna jew liema interface issejjaħ il-librerija tiegħu. Kampjun meħud wara l-irkupru normalment jitlef il-waqfien kollu, għalhekk żomm il-verżjoni tal-kernel ħdejn il-qari.
cat /proc/sys/kernel/random/entropy_avail
uname -rQabbel il-korrezzjoni mal-qari
Jekk il-kernel verament qed jistenna l-inizjalizzazzjoni, ħares lejn il-passaġġ taż-żerriegħa appoġġjat mill-pjattaforma u mhux it-tunnel. Magna virtwali tista' tingħata apparat każwali pprovdut mill-host, bħal virtio-rng, u l-preparazzjoni tal-immaġni tgħodd għax żerriegħa kkopjata mingħajr bidla f'ħafna mistednin mhijiex inizjalizzazzjoni indipendenti. Jekk librerija tirrapporta fallimenti taż-żerriegħa wara l-boot, eżamina s-sors konfigurat tagħha u l-imġiba tal-fornitur minflok ma tbiddel is-settings tal-kernel.
ss -tin dst 203.0.113.7
sar -n DEV 1 5Id-dokumentazzjoni tal-ġeneratur OpenSSL tiddeskrivi kif din il-ġerarkija tikseb input u meta sseħħ iż-żerriegħa mill-ġdid, li hija dikjarazzjoni ferm aktar dejqa mill-mit u li tgħodd biss għal dik l-implimentazzjoni. Daemon tal-entropija mhuwiex tiswija universali tal-veloċità, u l-installazzjoni tiegħu biex jogħla kontrollur tbiddel assunzjoni tas-sigurtà mingħajr ma turi dewmien. Għat-throughput, segwi l-passaġġ tad-data: ħajta waħda saturata, trażmissjonijiet mill-ġdid, telf estern u waqgħat tal-kju jeħtieġu kull wieħed korrezzjoni differenti, u d-daqsijiet tal-buffer jindirizzaw il-buffering tas-socket bl-evidenza tal-kju tagħhom stess.