tls-auth key-direction: 0 u 1 iridu jkunu differenti, mhux jaqblu
B'tls-auth iż-żewġ trufijiet jeħtieġu direzzjonijiet opposti, 0 u 1, jew it-tnejn iridu jħallu s-setting barra. L-istess numru jfalli, u tls-crypt qatt ma jużah.
Naħa waħda tat-tunnel tiffirma l-kanal tal-kontroll b'slot taċ-ċavetta li n-naħa l-oħra qatt ma tiċċekkja, u l-konnessjoni tmut bi żball ta' awtentikazzjoni qabel ma jiġi skambjat anki ċertifikat wieħed. Hekk tidher nuqqas ta' qbil fid-direzzjoni f'tls-auth, u hija deterministika: l-istess żewġ fajls ifallu f'kull tentattiv, minn kull netwerk. Xejn fil-log ma jsemmi l-għażla li qed tfittex, għalhekk in-nies jerġgħu jibnu ċ-ċwievet u jerġgħu joħorġu ċertifikati li qatt ma kienu miksura. Is-soluzzjoni hija li ż-żewġ trufijiet isiru komplementari, jew li t-tnejn jitħallew f'żewġ direzzjonijiet, mhux li tissaħħaħ il-verifika.
Il-falliment iseħħ qabel iċ-ċertifikati
B'tls-auth, iż-żewġ pari jżommu l-istess ċavetta kondiviża u kull wieħed juża wieħed minn żewġ slots derivati minnha: slot wieħed jiffirma l-pakketti tal-kontroll li joħorġu, l-ieħor jivverifika dawk li jidħlu. Id-direzzjoni 0 u d-direzzjoni 1 jagħtu dawn ir-rwoli f'ordni opposta, għalhekk il-par irid ikun komplementari biex il-verifiki HMAC jaqblu. Meta l-assenjazzjoni tinġieb riverse fuq naħa waħda, ir-riċevitur ifittex firma fis-slot ħażin u jirrifjuta l-pakkett. Is-sessjoni tintemm hemm, għalhekk l-iżball jirrigwarda l-awtentikazzjoni tal-pakketti u mhux xi ħaġa li kienet tipproduċi l-maħżen taċ-ċertifikati.
Id-determiniżmu huwa importanti għad-dijanjosi, għax problema ta' ħin jew ta' rotta tħalli marka differenti: qtugħ intermittenti, direzzjoni waħda li tfalli, jew sessjoni li tmut biss fuq netwerk partikolari. Nuqqas ta' qbil fid-direzzjoni jfalli fl-ewwel handshake kull darba, u jfalli bl-istess mod fuq magna oħra li jkollha l-istess żewġ fajls. Aqra l-log f'--verb 4 u sib l-ewwel pakkett miċħud minflok l-aħħar linja. Jekk dak iċ-ċaħda sseħħ qabel xi skambju ta' ċertifikati, iċ-ċavetta kondiviża u d-direzzjoni tagħha huma ż-żewġ affarijiet li jiswew li jiġu ċċekkjati.
| What you see | What it rules out | Next check |
|---|---|---|
| Authentication error before any certificate is sent | The data channel is irrelevant; the control channel never authenticated | Compare tls-auth and its direction on both ends |
| Certificate or handshake failure after the control channel authenticates | The shared key and its direction already agree | Check the CA, the certificate dates and the hostname |
| Session completes but throughput or cipher warnings appear | Direction was never the problem | Compare the data-channel cipher settings |
| Startup stops on an options error | The number itself is not the issue | Re-read the inline versus external directive syntax |
Fejn tgħix in-numru
Il-manwal ta' OpenVPN 2.6 jiddokumenta żewġ postijiet għad-direzzjoni: it-tieni argument ta' tls-auth meta ċ-ċavetta tkun f'fajl tagħha, u linja key-direction awtonoma meta ċ-ċavetta tkun inkorporata fil-profil. It-tnejn jistabbilixxu l-istess valur, għalhekk profil għandu juża forma waħda jew l-oħra, qatt it-tnejn. It-tħollija barra hija wkoll għażla, u tqiegħed iż-żewġ pari fi tħejjija f'żewġ direzzjonijiet li taħdem meta ebda naħa ma ssemmi direzzjoni. Żewġ pari bl-istess numru mhumiex f'dik it-tħejjija: kull wieħed jistenna li jiffirma f'slot u jivverifika fl-ieħor, u t-tnejn jagħmlu dan bl-istess mod.
# server.conf, external key tls-auth ta.key 0 # client.ovpn, external key tls-auth ta.key 1 # client.ovpn, inline key key-direction 1
Il-forma inkorporata hija direttiva fuq linja tagħha, mhux attribut fuq it-tag tal-ftuħ tal-blokka taċ-ċavetta, u ż-żieda ta' argument ma' dak it-tag hija żball, mhux bidla fid-direzzjoni. Il-post huwa importanti wkoll: id-direttiva tinsab barra mill-blokka li tagħha hi, għalhekk valur miktub ġewwa l-blokka jinqara bħala materjal taċ-ċavetta. Ikkopja t-tħejjija li kellu f'moħħu d-distributur tal-profil minflok toħloq par, għax profil li jaħdem kontra server wieħed forsi diġà huwa miksi fuq in-naħa l-oħra.
X'ma jmissx l-għażla
Ma tikkriptax it-traffiku tal-applikazzjonijiet. tls-auth tqiegħed HMAC madwar il-pakketti tal-kanal tal-kontroll, filwaqt li l-kanal tad-dejta huwa protett b'ċwievet tas-sessjoni nnegozjati waqt l-handshake, għalhekk mistoqsija dwar throughput jew cipher m'għandha x'taqsam xejn man-numru tad-direzzjoni. Is-setting ma żżidx it-tieni saff ta' kriptaġġ, u din hija l-assunzjoni li tibgħat lin-nies ifittxu ċavetta itwal.
Ma tapplikax għal tls-crypt, mekkaniżmu ieħor tal-kanal tal-kontroll bl-għażliet u l-immaniġġjar taċ-ċwievet tiegħu, u ma tgħid xejn dwar l-identità taċ-ċertifikat ta' ebda par. Għalhekk qbil fid-direzzjoni li jaħdem biss jipprova li ż-żewġ trufijiet jaqblu dwar kif tawtentika l-kanal tal-kontroll, mhux li l-katina ta' fiduċja ġiet validata.
Ipponta l-par, imbagħad erġa' qabbad
Qabbel iż-żewġ konfigurazzjonijiet qabel ma tibdel waħda minnhom, għax l-editjar tan-naħa li diġà kienet korretta jirdoppja x-xogħol. Il-grep ta' hawn taħt juri liema mekkaniżmu jagħżel kull fajl; il-ġirja dettaljata turi jekk il-kanal tal-kontroll ġiex awtentikat xejn. Żomm iż-żewġ outputs, sabiex il-bidla li jmiss tista' tiġi mqabbla ma' stat magħruf.
grep -n -E 'tls-auth|tls-crypt|key-direction' server.conf client.ovpn openvpn --config client.ovpn --verb 4 2>&1 | grep -i -E 'hmac|tls error|control channel'
Erġa' ibda ż-żewġ pari wara kull bidla, għax dawn l-għażliet jinqraw darba fil-bidu u t-tagħbija mill-ġdid ta' naħa waħda tħalli l-par inkonsistenti għal ħajtu kollu tas-sessjoni l-qadima. Jekk id-deployment bħalissa jaħdem mingħajr direzzjoni konfigurata, iż-żieda tas-setting fuq par wieħed tirriproduċi l-falliment li bdejt bih; jew ħalli t-tnejn jew ikkonfigura t-tnejn. Ibdel tarf wieħed kull darba u żomm il-fajl preċedenti, sabiex rigressjoni tkun rimonta ta' żewġ minuti u mhux bini mill-ġdid.
Innota l-mekkaniżmu, il-fajl taċ-ċavetta u d-direzzjoni għal kull tarf fin-noti tad-deployment, għax inkella l-persuna li jmiss taqra żewġ fajls simili u tassumi li n-numri għandhom jaqblu ma' xulxin. Id-direzzjoni hija dettall ta' koordinazzjoni, mhux aġġornament tas-sigurtà: tifred iż-żewġ direzzjonijiet tal-kanal tal-kontroll u ma tagħmel xejn ieħor.