OpenVPN tls-ciphersuites kontra tls-version-min: x'jimponi kull wieħed

Tliet fatti differenti jiġu mgħaqqda f'linja waħda fil-biċċa l-kbira tad-diskussjonijiet OpenVPN dwar TLS: x'jista' jagħmel il-build tal-klijent tiegħek, x'jippermetti l-profil u x'effettivament innegozjat is-sessjoni. Lista qasira ta' suites TLS 1.3 twieġeb biss bin-nofs il-mistoqsija tan-nofs, u ma tgħid xejn dwar il-limitu t'isfel tal-verżjoni tal-protokoll. Għaddej mill-verifiki hawn taħt fl-ordni u waqaf fl-ewwel wieħed li ma jżommx, għax kull verifika sussegwenti tassumi li dawk ta' qabel huma solvuti.

Iċċekkja l-build qabel ma taqra xi lista

Direttiva tal-konfigurazzjoni ma tistax iżżid appoġġ għall-protokoll ma' binariju li m'għandux. Ibda bil-banner tal-verżjoni, li jsemmi l-librerija kriptografika kkompilata:

openvpn --version

Build 2.6 marbut ma' OpenSSL jaċċetta kemm tls-cipher kif ukoll tls-ciphersuites. Build ma' mbed TLS m'għandux għażla ta' suites TLS 1.3 xejn, u l-manwal 2.6 jimmarka tls-ciphersuites bħala għażla ta' OpenSSL. Jekk is-server jerġa' jinbena b'backend differenti, l-istess profil jista' jbiddel l-imġiba tiegħu mingħajr ma tinbidel linja waħda tal-konfigurazzjoni.

Waqt li int hawn, ħaddem openvpn --show-tls u żomm l-output. Dak hu l-inventarju li bih tqabbel aktar tard, u huwa rħis li taqbadu qabel ma xi ħadd jibda jeditja l-profili.

Ikteb il-banner u l-lista fit-ticket tal-bidla, mhux fit-tieqa taċ-chat. Meta żewġ persuni jargumentaw dwar jekk klijent jistax joffri suite fi sitt ġimgħat, l-output maqbud jaqta' dan f'linja waħda.

Żomm il-limiti tal-verżjoni separati mil-listi tas-sifri

Fil-manwal 2.6 dawn huma tliet kontrolli, mhux waħda:

• tls-cipher jistabbilixxi l-politika tas-sifri għal TLS 1.2 u preċedenti, u jiġi mgħoddi lill-lista tas-sifri ta' OpenSSL;
• tls-ciphersuites jagħżel suites TLS 1.3;
• tls-version-min u tls-version-max jillimitaw il-verżjonijiet tal-protokoll li l-konnessjoni tista' tuża.

Allura lista ta' suites TLS 1.3 maqtugħa bir-reqqa ma tipprova xejn dwar verżjoni eqdem li għadha permessa. Jekk ir-rekwiżit huwa «TLS 1.3 biss», il-limitu t'isfel tal-verżjoni jġorrha, u l-lista tas-suites issikka biss l-għażliet f'dak il-limitu:

tls-version-min 1.3
tls-ciphersuites TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256

Dan il-par jagħmel żewġ xogħlijiet. It-tħassir ta' waħda mil-linji jħalli lill-oħra timponi inqas milli taħseb, u dan huwa eżattament il-falliment li għalih teżisti din il-verifika kollha.

Il-kanal tad-data huwa r-raba' kontroll. data-ciphers jinnegozja s-sifra simmetrika ġewwa t-tunnel, u r-riżultat tiegħu ma jgħid xejn dwar il-verżjoni TLS tal-kanal tal-kontroll. Li tara AES-256-GCM fis-sommarju tas-sessjoni mhuwiex prova dwar TLS 1.3 f'ebda direzzjoni.

Aqra show-tls bħala inventarju lokali

--show-tls jelenka s-suites appoġġjati mil-librerija kriptografika li magħha huwa marbut dan il-binariju, fl-ordni tal-preferenza. Mhuwiex rapport mill-gateway. Il-manwal jgħid b'mod espliċitu li l-lista tiġi mil-librerija lokali, li jfisser li laptop b'OpenSSL 3.x u router b'build eqdem se jipprintjaw listi differenti waqt li jitkellmu mal-istess server.

Ejja ngħidu li klijent jappoġġja s-suites A, B u C u sessjoni waħda tagħżel B. Dan ma jistabbilixxi xejn dwar jekk is-server jippermettix A jew C, u lanqas dwar jekk B huwiex l-unika għażla permessa tiegħu. Żomm it-tliet ringieli separati, u l-biċċa l-kbira tal-ħjut TLS konfużi jsolvu ruħhom.

L-inventarju xorta jiswa li jinżamm. Meta sessjoni tfalli, it-tqabbil tal-lista tal-librerija mal-lista tal-profil jgħidlek jekk il-klijent kellux xi ċans joffri dak li ried is-server. Juri wkoll jekk bidla fil-backend neħħitx bil-kwiet TLS_CHACHA20_POLY1305_SHA256 mill-pool li jiddependu fuqu l-klijenti eqdem — it-tip ta' rigressjoni li tidher bħala numru żgħir ta' utenti li ma jistgħux jikkonnettjaw filwaqt li kulħadd ma jinduna b'xejn.

Staqsi lill-gateway xi ħaġa li jista' jwieġeb

Jekk inti tamministra s-servizz, iċċekkja l-konfigurazzjoni effettiva tal-istanza li qed taħdem minflok fajl fuq id-diska. OpenVPN jista' jkun tħaddem b'path --config differenti, jista' jiġbed includes, u jista' ma jkunx ġie restartjat mill-editjar. Il-politika tad-daemon li qed jaħdem hija dik li jiltaqgħu magħha l-klijenti.

Jekk ma tamministrahx, staqsi lill-operatur għar-rekwiżiti tal-klijent appoġġjati jew għal test ta' aċċettazzjoni limitat. Tentattiv miċħud mhuwiex awtomatikament suite miċħuda: limitu t'isfel tal-verżjoni, verifiki tal-identità taċ-ċertifikat bħal remote-cert-tls, jew nuqqas ta' qbil bejn tls-auth u tls-crypt jistgħu jtemmu l-iskambju qabel ma l-għażla tas-suite tkun importanti. Aqra l-iżball tas-server qabel ma tbiddel il-lista tal-klijent, għax «handshake failed» tkopri erba' kawżi differenti u waħda biss minnhom hija nuqqas ta' qbil tas-sifra.

L-indirizzar ta' openssl s_client lejn il-port VPN lanqas ma jirriproduċi l-mistoqsija. Il-kanal tal-kontroll jaħdem ġewwa l-qafas ta' OpenVPN stess, għalhekk probe TLS mhux maħdum jittestja protokoll differenti fuq port li jistenna xi ħaġa oħra. Kwalunkwe konklużjoni meħuda minnu hija dwar il-probe, mhux dwar it-tunnel.

Irreġistra żewġ riżultati u żommhom separati

Sessjoni permessa friska tipproduċi linja tal-kanal tal-kontroll li ssemmi l-verżjoni tal-protokoll u s-sifra magħżula, u linja separata tal-kanal tad-data li ssemmi s-sifra tat-tunnel. Aqbad it-tnejn mal-verżjoni tal-klijent u l-isem tal-profil, u nnota liema istanza tas-server wieġbet:

openvpn --config office.ovpn --verb 4 2>&1 | tee session.txt

Imbagħad aqra ż-żewġ linji minn dak il-fajl u mhux mill-memorja. Il-par huwa l-prova; isem ta' suite waħdu hija preferenza, u l-limitu tal-verżjoni hija dikjarazzjoni separata dwar x'jirrifjuta s-server.

Agħmel il-verifiki f'dan l-ordni. Ikkonferma l-build u l-backend b'--version. Aqbad --show-tls qabel ma tbiddel xejn. Iddikjara l-limitu t'isfel tal-verżjoni meħtieġ separatament mil-lista tas-suites. Ikkonferma l-politika effettiva tal-istanza li qed taħdem mas-sid tagħha. Osserva sessjoni permessa waħda u, jekk il-pjan jippermetti, tentattiv miċħud wieħed b'verżjoni eqdem. Irreġistra r-riżultati tal-kanal tal-kontroll u tal-kanal tad-data bħala sejbiet separati.

Jekk klijent meħtieġ ma jistax jissodisfa minimu ġdid, ħu dik id-deċiżjoni ta' migrazzjoni jew eċċezzjoni b'mod espliċitu minflok ma tbaxxi bil-kwiet regola ta' aċċettazzjoni mhux relatata biex it-tnedija tidher kompluta.