openssl dhparam -check ਕੀ ਜਾਂਚਦਾ ਹੈ ਅਤੇ ਕੀ ਖੁੰਝ ਜਾਂਦਾ ਹੈ

dhparam -check ਪਾਸ ਕਰਨਾ ਤੁਹਾਡੇ VPN ਦੇ Diffie-Hellman ਸੈਟਅੱਪ ਉੱਤੇ ਫੈਸਲੇ ਵਾਂਗ ਲੱਗਦਾ ਹੈ। ਇਹ ਨਹੀਂ ਹੈ। ਕਮਾਂਡ ਇੱਕ ਪੈਰਾਮੀਟਰ ਫਾਈਲ ਦੀ ਤੁਲਨਾ ਉਸ ਗਣਿਤ ਨਾਲ ਕਰਦੀ ਹੈ ਜੋ ਇਹ ਪੂਰਾ ਕਰਨ ਦਾ ਦਾਅਵਾ ਕਰਦੀ ਹੈ, ਅਤੇ ਇਹ ਨਹੀਂ ਦੱਸਦੀ ਕਿ ਗਰੁੱਪ ਦਾ ਆਕਾਰ ਤੁਹਾਡੀ ਨੀਤੀ ਨਾਲ ਮੇਲ ਖਾਂਦਾ ਹੈ ਜਾਂ ਟਨਲ ਉਹ ਫਾਈਲ ਲੋਡ ਵੀ ਕਰਦੀ ਹੈ ਜਾਂ ਨਹੀਂ। ਇਸਨੂੰ ਸੁਰੱਖਿਆ ਸਮੀਖਿਆ ਵਜੋਂ ਪੜ੍ਹਨਾ ਉਹ ਧਾਰਨਾ ਹੈ ਜੋ ਪਹਿਲਾਂ ਸੁਧਾਰਨੀ ਚਾਹੀਦੀ ਹੈ।

ਪੈਰਾਮੀਟਰ ਫਾਈਲ ਵਿੱਚ ਇੱਕ ਅਭਾਜ ਸੰਖਿਆ ਅਤੇ ਇੱਕ ਜਨਰੇਟਰ ਹੁੰਦਾ ਹੈ। ਵੈਧਤਾ ਉਹਨਾਂ ਸੰਖਿਆਵਾਂ ਦਾ ਗੁਣ ਹੈ, ਜਦ ਕਿ ਤਾਕਤ ਤੁਹਾਡੇ ਜੋਖਮ ਮਾਡਲ ਅਤੇ ਤੁਹਾਡੇ ਸਾਥੀਆਂ ਬਾਰੇ ਫੈਸਲਾ ਹੈ, ਅਤੇ ਦੋਵੇਂ ਇੱਕ-ਦੂਜੇ ਦੀ ਥਾਂ ਨਹੀਂ ਲੈ ਸਕਦੇ।

ਵੈਧਤਾ ਜਾਂਚ ਅਸਲ ਵਿੱਚ ਕੀ ਪੁਸ਼ਟੀ ਕਰਦੀ ਹੈ

ਆਪਣੇ ਕੋਲ ਦੀ ਫਾਈਲ ਉੱਤੇ ਜਾਂਚ ਚਲਾਓ ਅਤੇ ਜਵਾਬ ਪੜ੍ਹੋ। openssl dhparam -in dh.pem -check -noout ਪੈਰਾਮੀਟਰ ਜਾਂਚਾਂ ਕਰਦਾ ਹੈ ਅਤੇ ਐਨਕੋਡ ਕੀਤਾ ਆਉਟਪੁੱਟ ਦਬਾ ਦਿੰਦਾ ਹੈ। ਇਹ ਸੁਨੇਹਾ ਕਿ ਪੈਰਾਮੀਟਰ ਠੀਕ ਲੱਗਦੇ ਹਨ ਦਾ ਮਤਲਬ ਹੈ ਕਿ ਮੁੱਲ ਢਾਂਚਾਗਤ ਤੌਰ ਉੱਤੇ ਇਕਸਾਰ ਹਨ; ਇਸ ਦਾ ਮਤਲਬ ਇਹ ਨਹੀਂ ਕਿ ਛੋਟਾ ਗਰੁੱਪ ਤੁਹਾਡੇ ਵਾਤਾਵਰਣ ਵਿੱਚ ਸਵੀਕਾਰਯੋਗ ਹੈ।

-dsaparam ਤੋਂ ਬਿਨਾਂ ਬਣਾਉਣਾ ਸੁਰੱਖਿਅਤ ਅਭਾਜ ਸੰਖਿਆਵਾਂ ਦਿੰਦਾ ਹੈ, ਜਿੱਥੇ (p-1)/2 ਵੀ ਅਭਾਜ ਹੁੰਦਾ ਹੈ, ਇਸ ਲਈ ਇੰਨਾ ਸਮਾਂ ਲੱਗਦਾ ਹੈ। DSA ਸ਼ੈਲੀ ਦਾ ਰਾਹ ਪੈਰਾਮੀਟਰ ਤੇਜ਼ੀ ਨਾਲ ਬਣਾਉਂਦਾ ਹੈ ਅਤੇ ਉਹਨਾਂ ਨੂੰ DH ਰੂਪ ਵਿੱਚ ਬਦਲਦਾ ਹੈ, ਅਤੇ OpenSSL ਦਸਤਾਵੇਜ਼ ਉਹਨਾਂ ਦੀ ਵਰਤੋਂ ਨਾਲ ਤਾਜ਼ਾ ਚਾਬੀਆਂ ਦੀਆਂ ਵਾਧੂ ਸ਼ਰਤਾਂ ਜੋੜਦਾ ਹੈ। ਦੋਵੇਂ ਰਚਨਾਵਾਂ ਵਿੱਚੋਂ ਕੋਈ ਸੈਸ਼ਨ ਭੇਤ ਨਹੀਂ ਹੈ: ਫਾਈਲ ਜਨਤਕ ਸੰਰਚਨਾ ਸਮੱਗਰੀ ਹੈ, ਸਰਟੀਫਿਕੇਟ ਦੀ ਨਿੱਜੀ ਚਾਬੀ ਨਹੀਂ ਅਤੇ ਕੰਟਰੋਲ ਚੈਨਲ ਦਾ ਸਾਂਝਾ ਭੇਤ ਨਹੀਂ।

ਫਾਈਲ ਦਾ ਫੈਸਲਾ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਆਕਾਰ ਅਤੇ ਜਨਰੇਟਰ ਪੜ੍ਹੋ

ਵੈਧਤਾ ਦਾ ਨਤੀਜਾ ਤਦ ਵਧੇਰੇ ਅਰਥ ਰੱਖਦਾ ਹੈ ਜਦ ਤੁਸੀਂ ਜਾਣਦੇ ਹੋ ਕਿ ਕੀ ਜਾਂਚਿਆ ਗਿਆ। openssl dhparam -in dh.pem -text -noout ਨਾਲ ਪੈਰਾਮੀਟਰ ਛਾਪੋ, ਫਿਰ ਅਭਾਜ ਸੰਖਿਆ ਦੀ ਲੰਬਾਈ ਅਤੇ ਜਨਰੇਟਰ ਦਾ ਮੁੱਲ ਨੋਟ ਕਰੋ।

ਉਸ ਲੰਬਾਈ ਦੀ ਤੁਲਨਾ ਆਦਤ ਨਾਲ ਨਹੀਂ, ਲਿਖਤੀ ਨੀਤੀ ਨਾਲ ਕਰੋ। ਜੇ ਤੁਹਾਡੀ ਲੋੜ ਆਧੁਨਿਕ TLS ਸਟੈਕ ਦਾ ਮਨਜ਼ੂਰ ਨਾਮਿਤ ਗਰੁੱਪ ਹੈ, ਤਾਂ ਹੱਥੋਂ ਬਣਾਈ ਫਾਈਲ ਪੂਰੀ ਤਰ੍ਹਾਂ ਗਲਤ ਕਲਾਕ੍ਰਿਤੀ ਹੋ ਸਕਦੀ ਹੈ। ਦੋਵੇਂ ਸੰਖਿਆਵਾਂ ਤਬਦੀਲੀ ਰਿਕਾਰਡ ਵਿੱਚ ਲਿਖੋ ਤਾਂ ਜੋ ਅਗਲੇ ਸਮੀਖਿਅਕ ਨੂੰ ਉਹ ਦੁਬਾਰਾ ਕੱਢਣੀਆਂ ਨਾ ਪੈਣ।

ਜਾਂਚ ਨੂੰ ਮੁੜ ਬਣਾਉਣ ਵਿੱਚ ਨਾ ਬਦਲੋ

ਇੱਥੇ ਅਸਫਲਤਾ ਦਾ ਢੰਗ ਅਜਿਹੀ ਕਮਾਂਡ ਹੈ ਜੋ ਜਾਂਚ ਵਾਂਗ ਦਿਸਦੀ ਹੈ ਪਰ ਜਨਰੇਟਰ ਵਾਂਗ ਵਿਵਹਾਰ ਕਰਦੀ ਹੈ। ਬਿੱਟ ਲੰਬਾਈ ਜੋੜਨਾ, ਜਿਵੇਂ openssl dhparam -check 2048 ਵਿੱਚ, ਨਵੇਂ ਪੈਰਾਮੀਟਰ ਮੰਗਦਾ ਹੈ ਅਤੇ ਇਨਪੁੱਟ ਫਾਈਲ ਨੂੰ ਨਜ਼ਰਅੰਦਾਜ਼ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਜਨਰੇਟਰ ਵਿਕਲਪ ਵੀ ਇਹੀ ਕਰ ਸਕਦਾ ਹੈ। ਜੇ ਤੁਸੀਂ ਸਿਰਫ਼ ਨਿਰੀਖਣ ਕਰਨਾ ਚਾਹੁੰਦੇ ਸੀ, ਤਾਂ -in ਅਤੇ -check ਦਿਓ ਅਤੇ ਆਕਾਰ ਦੱਸਣ ਵਾਲਾ ਕੁਝ ਨਾ ਦਿਓ।

ਮੂਲ ਰਾਹ ਉੱਤੇ ਆਉਟਪੁੱਟ ਲਿਖਣਾ ਉਸੇ ਸ਼ੱਕ ਦੇ ਯੋਗ ਹੈ, ਕਿਉਂਕਿ ਦਸਤਾਵੇਜ਼ ਚੇਤਾਵਨੀ ਦਿੰਦਾ ਹੈ ਕਿ ਫਾਈਲ ਆਉਟਪੁੱਟ ਪਰਮਾਣੂ ਨਹੀਂ ਹੈ। ਲਿਖਦੇ ਸਮੇਂ ਕ੍ਰੈਸ਼ ਹੋਣ ਨਾਲ ਕਟੀ ਹੋਈ ਪੈਰਾਮੀਟਰ ਫਾਈਲ ਅਤੇ ਸ਼ੁਰੂ ਨਾ ਹੋਣ ਵਾਲੀ ਸੇਵਾ ਰਹਿ ਜਾਂਦੀ ਹੈ।

ਗਰੁੱਪ ਨੂੰ ਪ੍ਰੋਟੋਕੋਲ ਨਾਲ ਮਿਲਾਓ, ਰੁਝਾਨ ਨਾਲ ਨਹੀਂ

ਆਕਾਰ ਦੀ ਨੀਤੀ ਅਜਿਹਾ ਫੈਸਲਾ ਹੈ ਜੋ ਸਾਧਨ ਤੁਹਾਡੇ ਲਈ ਨਹੀਂ ਪੜ੍ਹ ਸਕਦਾ। 2048 ਬਿੱਟ ਦਾ ਸੀਮਤ-ਖੇਤਰ ਗਰੁੱਪ ਆਮ ਹੇਠਲੀ ਹੱਦ ਹੈ ਅਤੇ ਵੱਡੇ ਗਰੁੱਪ ਹੱਥ ਮਿਲਾਉਣ ਦਾ ਸਮਾਂ ਲੈਂਦੇ ਹਨ, ਇਸ ਲਈ ਉਹ ਸੰਖਿਆ ਚੁਣੋ ਜੋ ਤੁਹਾਡੀ ਆਪਣੀ ਆਧਾਰ-ਰੇਖਾ ਦੱਸਦੀ ਹੈ ਅਤੇ ਲਿਖ ਲਓ। ਬਹੁਤ ਵਰਤੇ ਜਾਣ ਵਾਲੇ ਗਰੁੱਪ ਜਨਤਕ ਹੋਣ ਕਰਕੇ ਕਮਜ਼ੋਰ ਨਹੀਂ; ਇੱਥੇ ਅਸਪਸ਼ਟਤਾ ਕੁਝ ਨਹੀਂ ਜੋੜਦੀ।

ਜਿੱਥੇ ਸਟੈਕ ਮਨਜ਼ੂਰ ਨਾਮਿਤ ਗਰੁੱਪਾਂ ਦਾ ਸਮਰਥਨ ਕਰਦਾ ਹੈ, ਉੱਥੇ ਉਹਨਾਂ ਨੂੰ ਵਿਲੱਖਣ ਦਿਸਣ ਲਈ ਅਸਧਾਰਨ ਪੈਰਾਮੀਟਰ ਬਣਾਉਣ ਦੀ ਥਾਂ ਉਹ ਦਸਤਾਵੇਜ਼ੀ ਪ੍ਰਬੰਧ ਅਪਣਾਓ। ਨਾਮਿਤ ਗਰੁੱਪ ਅਜਿਹੀ ਚੀਜ਼ ਹੈ ਜਿਸਨੂੰ ਸਾਥੀ ਪਛਾਣ ਸਕੇ ਅਤੇ ਸਮੀਖਿਅਕ ਲੱਭ ਸਕੇ, ਜੋ ਕਿਸੇ ਅਜਿਹੀ ਫਾਈਲ ਨਾਲੋਂ ਵਧੇਰੇ ਕੀਮਤੀ ਹੈ ਜਿਸਨੂੰ ਕੋਈ ਵਰਗੀਕ੍ਰਿਤ ਨਹੀਂ ਕਰ ਸਕਦਾ।

ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ VPN ਫਾਈਲ ਲੋਡ ਕਰਦਾ ਹੈ

ਸਹੀ ਪੈਰਾਮੀਟਰ ਫਾਈਲ ਜਿਸਨੂੰ ਕੋਈ ਪ੍ਰਕਿਰਿਆ ਨਹੀਂ ਪੜ੍ਹਦੀ, ਕੁਝ ਨਹੀਂ ਬਦਲਦੀ। OpenVPN ਵਿੱਚ ਸਰਵਰ ਨਿਰਦੇਸ਼ ਰਾਹ ਨਾਲ dh ਹੈ, ਅਤੇ ECDH ਜਾਂ TLS 1.3 ਚਾਬੀ ਬਦਲਾਅ ਉੱਤੇ ਨਿਰਭਰ ਤੈਨਾਤੀਆਂ ਇਸਦੀ ਥਾਂ dh none ਸੈੱਟ ਕਰ ਸਕਦੀਆਂ ਹਨ। ਟੈਂਪਲੇਟ ਨਹੀਂ, ਚੱਲ ਰਹੀ ਸੰਰਚਨਾ ਜਾਂਚੋ, ਫਿਰ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਕਲਾਇੰਟ ਅਤੇ ਸਾਥੀ ਉਸੇ ਰਚਨਾ ਉੱਤੇ ਸਹਿਮਤ ਹੁੰਦੇ ਹਨ।

ਉਹਨਾਂ ਸਬੂਤਾਂ ਨਾਲ ਚੱਕਰ ਬੰਦ ਕਰੋ ਜੋ ਸੱਚਮੁੱਚ ਤੁਹਾਨੂੰ ਚਾਹੀਦੇ ਹਨ: ਉਹ ਗਰੁੱਪ ਜਿਸ ਉੱਤੇ ਟਨਲ ਨੇ ਗੱਲਬਾਤ ਕੀਤੀ, ਫਾਈਲ ਵਿੱਚ ਪੈਰਾਮੀਟਰ ਦੀ ਲੰਬਾਈ, ਅਤੇ ਉਹ ਨੀਤੀ ਲਾਈਨ ਜਿਸਨੂੰ ਇਹ ਲੰਬਾਈ ਪੂਰਾ ਕਰਦੀ ਹੈ। ਪਾਸ ਹੋਈ ਜਾਂਚ ਉਸ ਸੂਚੀ ਵਿੱਚ ਇੱਕ ਮਦ ਹੈ। ਇਸਨੂੰ ਪੂਰਾ ਜਵਾਬ ਮੰਨਣਾ ਹੀ ਉਹ ਤਰੀਕਾ ਹੈ ਜਿਸ ਨਾਲ ਛੋਟਾ ਗਰੁੱਪ ਉਸ ਆਡਿਟ ਤੋਂ ਬਚ ਜਾਂਦਾ ਹੈ ਜੋ ਉਸਨੂੰ ਫੜਨਾ ਚਾਹੀਦਾ ਸੀ।