Korleis OpenVPN data-ciphers vel chifferen for datakanalen

Tunnelen kjem opp, loggen viser ein chiffer, og profilgjennomgangen går vidare. Så landar ei oppgradering hos ein motpart, og same profil feilar med ei melding om ingen delt chiffer, noko som sender folk på jakt etter eit direktiv som skal slettast. Det nyttige å forstå er at data-ciphers skildrar ei forhandling, ikkje ei innstilling. Den eine sida tilbyr ei liste, den andre vel frå henne, og resultatet er éin algoritme som båe støttar. Å lese den utvekslinga forklarer dei fleste av desse feila før du endrar ei linje.

To kanalar, to konfigurasjonar

Ei OpenVPN-økt har ein kontrollkanal og ein datakanal. Kontrollkanalen køyrer TLS-handtrykket som autentiserer motpartane og forhandlar nøklar. Datakanalen krypterer pakkane som ber trafikken din.

data-ciphers konfigurerer den andre. Kontrollkanalen har eigne val, og identitetskontrollane til profilen er ei tredje, skild sak. Ei endring i den eine rettar ikkje den andre, og difor kan ein profil sjå riktig ut og likevel feile på eit bestemt trinn.

Hald dei tre i kvar sin boks når du les ein konfigurasjonsfil.

Les forhandlinga frå loggen

Klientloggen namngjev båe resultata når tilkoplinga lykkast. Éi linje rapporterer kontrollkanalen og TLS-detaljane hans, og ei anna rapporterer chifferen for datakanalen som vart vald.

Les båe, fordi dei svarar på ulike spørsmål. Ein feil i kontrollkanalen stoggar tilkoplinga før nokon datachiffer blir viktig. Eit avvik i datakanalen viser seg etter eit vellukka handtrykk, med ei melding om ingen delt chiffer.

Samanlikn deretter listene som blir tilbodne på båe sider. Eit namn som versjonen til den eine motparten eller kryptobakgrunnen hans ikkje tilbyr, kan ikkje veljast, uansett kor tidleg det står på lista til den andre motparten.

Korleis valet faktisk skjer

Tenaren skyv data-ciphers-lista si til klienten under handtrykket, og klienten vel den første oppføringa på lista som han òg støttar. Rekkjefølgja høyrer difor til konfigurasjonen til tenaren, ikkje klienten.

Den detaljen forklarer ein klasse forvirrande resultat. Å omorganisere lista til klienten endrar ingenting så lenge lista til tenaren avgjer. Å leggje til ein chiffer klienten ikkje kan tilby endrar heller ingenting, fordi klienten må kunne bruke oppføringa han vel.

Nyare utgåver endra standardlista og gav nytt namn til valet som pleidde å halde henne, så to motpartar på ulike versjonar kan vere usamde utan at nokon redigerer ein profil. Sjekk versjonen på kvar side før du går ut frå ein skrivefeil.

Ei liste er ikkje ein styrkerangering i abstrakt forstand. Det er eit sett kandidatar, og den valde er den første gjensidig støtta oppføringa i rekkjefølgja til tenaren. Difor kan to lister som ser ulike ut forhandle same chiffer. Det er òg difor to lister som ser identiske ut kan feile.

Eldre motpartar treng ei medviten reserveløysing

Ein motpart som ikkje kan forhandle i det heile, fordi han er eldre enn mekanismen eller har deaktivert han, treng ei dokumentert kompatibilitetsordning. Reservevalet finst nettopp for det tilfellet og gjeld motpartar som ikkje deltek i forhandlinga.

Det er ikkje det same som å slå på kvar gamal chiffer for å få ei melding til å forsvinne. Ei brei liste svekkjer økta for kvar motpart, òg dei som ville ha forhandla noko sterkt.

Koordiner dei to sidene i staden for å redigere urelaterte algoritmenamn. Viss ei tenaroppgradering fjerna eit gamalt val, høyrer rettinga heime i versjonsplanen, ikkje i ei hektisk jakt på klienten.

Hald verifiseringa intakt

Eit avvik i datakanalen er ikkje grunn til å godta ein uverifisert tenar. Sertifikatverifisering, det forventa tenarnamnet og beskyttelsesinnstillingane til kontrollkanalen er skilde frå chiffervalet og bør overleve kvar kompatibilitetsendring.

Noter den forhandla datachifferen, klientversjonen og tenarversjonen saman, slik at neste samanlikning startar frå fakta og ikkje frå profilfila.

Etter ei støtta retting, test den innleiande tilkoplinga og ei ny forhandling, fordi ei økt som blir etablert éin gong framleis kan feile når nøklane blir fornya.

Viss tunnelen blir etablert og nettstader framleis feilar, er chifferen ikkje lenger den mistenkte. Hald fram med ruting og DNS. Arbeidsrekkjefølgje: les båe logglinjene, samanlikn båe listene, sjekk versjonar, legg til ei reserveløysing berre for ein motpart som treng det, og test deretter fornyingsvegen på nytt.