Kompressjoni f'OpenVPN: tirrifjuta, tirċievi biss jew LZO sħiħ?
comp-lzo no mhix rifjut strett. Qabbel ir-rifjut tal-kompressjoni, l-akkoljenza f'direzzjoni waħda waqt migrazzjoni u ż-żamma tagħha, imbagħad iċċekkja x'jagħmel offload.
Tliet linji fi profil jidhru li kollha jitfu l-kompressjoni, u waħda biss minnhom fil-fatt tagħmel hekk. Id-differenza hija importanti għax it-twissija li trid tissikket hija sintomu, filwaqt li l-politika hija dik li tiddeċiedi jekk in-naħa l-oħra għadhiex tista' tikkomprimi. It-tqabbil tal-għażliet fuq ass wieħed, jiġifieri x'tippermetti kull waħda wara l-bidla, ineħħi l-biċċa l-kbira tal-ambigwità. Liema trid tiddependi minn jekk intix qed timmigra jew qed tistabbilixxi ruħek.
Tliet politiki li jidhru simili f'fajl ta' konfigurazzjoni
Kull għażla twieġeb mistoqsija differenti. allow-compression no tirrifjuta t-tagħbijiet ikkompressati direttament, allow-compression asym tiddikomprimi dak li jasal u qatt ma tikkomprimi dak li joħroġ, u l-antik comp-lzo no iħalli spazju għall-push tan-naħa l-oħra biex jixgħel il-kompressjoni. L-ewwel waħda biss hija politika li server ma jistax jegħlebha.
Ikteb it-tlieta fi tabella qabel ma tagħżel, għax l-ismijiet huma qrib biżżejjed biex iqarrqu lill-verifikatur. Tnejn minnhom għadhom iħaddmu l-kodiċi tad-dikompressioni fuq il-pakki li jaslu, u dan huwa eżattament is-suġġett tal-argument tas-sigurtà. It-tielet waħda tneħħi l-kapaċità minflok ma tillimita d-direzzjoni tagħha. Jekk ir-rekord tal-bidla jgħid li l-kompressjoni hija diżattivata, eżattament ringiela waħda tissodisfa dik is-sentenza.
It-twissija li bdiet l-investigazzjoni mhix l-għan. Li tissikket waqt li titħalla politika permissiva fis-seħħ tagħti log nadif u espożizzjoni mhux mibdula.
| Setting | What it permits | When it is the right answer |
|---|---|---|
allow-compression no | No compressed payloads, and no compression framing under offload | Both ends can be changed now |
allow-compression asym | Decompress inbound only | A dated migration while peers catch up |
comp-lzo no | Off locally, still pushable by a peer | Legacy compatibility you can still justify |
Xi tfisser no fl-għażla l-antika LZO
Fl-għażla LZO skaduta, in-no jitfi l-kompressjoni għan-naħa lokali mingħajr ma jipprojbixxi lin-naħa l-oħra milli tixgħelha fejn il-politika tippermetti. Din l-asimetrija hija r-raġuni għaliex it-trasferiment ta' profil għal rifjut strett ibiddel l-imġiba b'modi li test tal-laboratorju b'server wieħed jista' qatt ma jiżvela.
It-tħassib tas-sigurtà huwa kundizzjonali, mhux assolut. Meta attakkant jista' jqiegħed test ċar magħżul ħdejn sigriet u jara kif il-kompressjoni tbiddel id-daqs tat-traffiku ċċifrat, ikun hemm kanal ta' informazzjoni. Il-bidla minn LZO għal LZ4 tbiddel l-algoritmu u l-inkwadrar, mhux dak il-mekkaniżmu.
Għalhekk il-qafas onest huwa dwar x'inti lest li tippermetti, mhux dwar liema algoritmu huwa rakkomandat bħalissa. Ir-rifjut strett huwa l-unika għażla li ma tiddependix fuq il-kooperazzjoni tan-naħa l-oħra.
Li tirċievi biss hija stat ta' migrazzjoni, mhux destinazzjoni
L-akkoljenza asimetrika teżisti biex naħa waħda tista' tieqaf tikkomprimi filwaqt li l-oħra għadha tistenna dan. Hija pont, u l-pontijiet jeħtieġu data ta' tmiem u sid. Irreġistra liema sħab għadhom jibagħtu traffiku kkompressat, għax il-politika tippermetti eżattament dak it-traffiku. Mingħajr dik il-lista, l-istat ta' migrazzjoni jsir konfigurazzjoni permanenti bl-inerzja.
Il-klijent ma jistax iġġiegħel server inkumpatibbli jabbanduna l-inkwadrar antik billi jeditja l-fajl tiegħu stess. Id-direzzjoni tal-push tiġi deċiża fuq is-server, għalhekk il-migrazzjoni fil-fatt tintemm fil-konfigurazzjoni tas-server u fil-fajls tiegħu għal kull klijent.
Il-modi stub iżommu l-inkwadrar filwaqt li jaqbżu x-xogħol tal-kompressjoni nnifsu, u mhumiex ekwivalenti dirett tal-għażla l-antika. Ippruvahom fuq l-eqdem sieħeb li għadek trid tappoġġja qabel ma tiddeċiedi waħda.
Fejn l-offload tal-kanal tad-data jbiddel it-tweġiba
L-offload tal-kanal tad-data jċaqlaq l-immaniġġjar tal-pakki fil-kernel, u profil li għadu jiddependi fuq l-inkwadrar tal-kompressjoni jista' ma jaqbilx ma' dak il-passaġġ. Il-falliment mhux dejjem qawwi: klijent jgħaqqad u mbagħad iġib ruħu b'mod differenti mit-tunnel li ttestjajt.
Iċċekkja liema implimentazzjoni hija attiva qabel u wara l-bidla, mhux biss jekk il-konnessjoni tirnexxix. Meta l-passaġġ bl-offload jirrifjuta l-inkwadrar tal-kompressjoni, politika ta' rifjut strett u implimentazzjoni bl-offload jaqblu, filwaqt li politika permissiva u implimentazzjoni bl-offload ma jaqblux.
Dik il-kombinazzjoni ħaqqha test tagħha, għax hemmhekk eżattament fajl li jidher korrett bil-kwiet mhux il-fajl li qed jintuża. Qabbel l-istat innegozjat mal-intenzjoni rreġistrata fil-profil, għax waħda biss minnhom tidher f'log.
Agħżel politika, imbagħad ivverifika r-riżultat innegozjat
Agħżel rifjut strett meta tista' tbiddel iż-żewġt trufijiet, akkoljenza asimetrika meta għadek ma tistax, u kompressjoni sħiħa biss meta tista' tgħid għaliex l-espożizzjoni hija aċċettabbli. Imbagħad ivverifika dak li ġie nnegozjat u mhux dak li jgħid il-fajl. Log aktar kwiet huwa prova biss meta jaqbel mal-politika li kont beħsiebek tapplika.
Żomm id-deċiżjoni ħdejn il-profil li għalih tapplika, mad-data u s-sħab li għadhom eżentati. Sitt xhur wara, dak in-nota hija d-differenza bejn eċċezzjoni deliberata u inċident li ħadd ma jista' jagħtih data. Iktibha fl-istess repożitorju tal-profil biex l-editur li jmiss jara r-raġuni qabel id-direttiva.