ਸਾਂਝਾ DH ਸਮੂਹ, ਨਵੇਂ ਭੇਦ: ਹਮਲਾ ਕਿਉਂ ਸਸਤਾ ਹੋ ਜਾਂਦਾ ਹੈ

ਸਮੂਹ ਦੇ ਪੈਰਾਮੀਟਰ ਡਿਜ਼ਾਈਨ ਅਨੁਸਾਰ ਹੀ ਜਨਤਕ ਹੁੰਦੇ ਹਨ, ਅਤੇ ਇਹੋ ਜਨਤਕਤਾ ਉਨ੍ਹਾਂ ਨੂੰ ਨਜ਼ਰਅੰਦਾਜ਼ ਕਰਨਾ ਸੌਖਾ ਬਣਾਉਂਦੀ ਹੈ। ਸੀਮਤ-ਖੇਤਰ Diffie-Hellman ਵਿੱਚ ਮਾਡਿਊਲਸ ਅਤੇ ਜਨਰੇਟਰ ਸਾਂਝੇ ਹੁੰਦੇ ਹਨ, ਪਰ ਨਿੱਜੀ ਘਾਤਾਂਕ ਅਤੇ ਉਨ੍ਹਾਂ ਤੋਂ ਬਣੀਆਂ ਸੈਸ਼ਨ ਕੁੰਜੀਆਂ ਸਾਂਝੀਆਂ ਨਹੀਂ ਹੁੰਦੀਆਂ। ਸੰਖਿਆ-ਖੇਤਰ ਛਾਣਨੀ ਹਮਲੇ ਦਾ ਮਹਿੰਗਾ ਪੜਾਅ ਇੱਕ ਅਦਲ-ਬਦਲ ’ਤੇ ਨਹੀਂ, ਸਮੂਹ ’ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ, ਇਸ ਲਈ ਹਰ ਥਾਂ ਵਰਤਿਆ ਜਾਂਦਾ ਇੱਕ ਕਮਜ਼ੋਰ ਸਮੂਹ ਸਾਂਝੀ ਜ਼ਿੰਮੇਵਾਰੀ ਬਣ ਜਾਂਦਾ ਹੈ। ਪੈਰਾਮੀਟਰਾਂ ਨੂੰ ਜਨਤਕ ਕਹਿਣਾ ਸਹੀ ਹੈ ਅਤੇ ਮੁੱਦੇ ਤੋਂ ਬਾਹਰ ਵੀ, ਕਿਉਂਕਿ ਜੋ ਖਰਚ ਦੁਬਾਰਾ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ ਉਹ ਉਸੇ ਸਮੂਹ ’ਤੇ ਹਮਲੇ ਦਾ ਖਰਚ ਹੈ।

ਜਨਤਕ ਅੱਧਾ ਕਮਜ਼ੋਰ ਅੱਧਾ ਨਹੀਂ ਹੈ, ਅਤੇ ਉੱਥੇ ਹੀ ਜਾਲ ਹੈ

ਆਮ ਅੱਧੀ-ਦਲੀਲ ਕਹਿੰਦੀ ਹੈ ਕਿ ਪੈਰਾਮੀਟਰ ਇੱਕ ਮਿਆਰ ਵਿੱਚ ਪ੍ਰਕਾਸ਼ਿਤ ਹਨ, ਇਸ ਲਈ ਹਮਲਾਵਰ ਉਨ੍ਹਾਂ ਨੂੰ ਪਹਿਲਾਂ ਹੀ ਜਾਣਦਾ ਹੈ ਅਤੇ ਲੁਕਾਉਣ ਨਾਲ ਕੁਝ ਨਹੀਂ ਬਦਲੇਗਾ। ਦੋਵੇਂ ਕਥਨ ਸੱਚ ਹਨ ਅਤੇ ਇੱਕ ਤੋਂ ਦੂਜਾ ਨਹੀਂ ਨਿਕਲਦਾ। ਭੇਜਿਆ ਜਾਂਦਾ ਡਿਫਾਲਟ ਸਮੂਹ ਜਨਤਕ ਹੁੰਦਾ ਹੈ, ਅਤੇ ਪਿਛਲੇ ਹਫ਼ਤੇ ਤੁਹਾਡੇ ਬਣਾਏ ਨਿੱਜੀ ਸਮੂਹ ਵੀ ਹੱਥ ਮਿਲਾਉਣਾ ਪੂਰਾ ਕਰਨ ਵਾਲੇ ਹਰ ਵਿਅਕਤੀ ਨੂੰ ਦਿਸਦਾ ਹੈ। ਗੁਪਤਤਾ ਕਦੇ ਨਿਯੰਤਰਣ ਨਹੀਂ ਸੀ; ਸ਼ਕਤੀ ਅਤੇ ਤਸਦੀਕ ਨਿਯੰਤਰਣ ਹਨ।

ਜੋ ਬਦਲਦਾ ਹੈ ਉਹ ਇਹ ਹੈ ਕਿ ਕਿੰਨੀਆਂ ਥਾਵਾਂ ਇੱਕੋ ਕਮਜ਼ੋਰੀ ਸਾਂਝੀ ਕਰਦੀਆਂ ਹਨ। ਆਪਣਾ 2048-ਬਿਟ ਸਮੂਹ ਬਣਾਉਣ ਵਾਲੀ ਸੰਸਥਾ ਆਪਣਾ ਹਮਲਾ ਖਰਚ ਖੁਦ ਭਰਦੀ ਹੈ, ਜਦੋਂ ਕਿ ਲੱਖਾਂ ਵੱਲੋਂ ਚੁਣਿਆ ਪ੍ਰੋਟੋਕੋਲ ਡਿਫਾਲਟ ਇੱਕ ਖਰਚ ਉਨ੍ਹਾਂ ਸਭ ’ਤੇ ਵੰਡ ਦਿੰਦਾ ਹੈ। ਉਸ ਅਰਥ ਵਿੱਚ ਅਸਾਧਾਰਨ ਸਮੂਹ ਆਪਣੇ ਆਪ ਵਧੀਆ ਨਹੀਂ ਹੁੰਦਾ। ਬਹੁਤ ਛੋਟਾ ਅਸਾਧਾਰਨ ਸਮੂਹ ਕੇਵਲ ਘੱਟ ਅੱਖਾਂ ਵਾਲਾ ਛੋਟਾ ਸਾਂਝਾ ਭੇਦ ਹੈ।

ਤਸਦੀਕ ਆਕਾਰ ਜਿੰਨੀ ਹੀ ਮਹੱਤਵਪੂਰਨ ਹੈ। ਛੋਟੇ ਗੁਣਨਖੰਡਾਂ ਵਾਲਾ ਮਾਡਿਊਲਸ ਭੇਜਣ ਵਾਲਾ ਸਾਥੀ, ਜਾਂ ਪ੍ਰੋਟੋਕੋਲ ਦੀ ਉਮੀਦ ਵਾਲਾ ਆਕਾਰ ਨਾ ਹੋਣ ਵਾਲਾ ਮਾਡਿਊਲਸ, ਬਿਟ-ਲੰਬਾਈ ਆਦਰਯੋਗ ਦਿਸਣ ’ਤੇ ਵੀ ਨਿੱਜੀ ਘਾਤਾਂਕ ਬਾਰੇ ਜਾਣਕਾਰੀ ਲੀਕ ਕਰ ਸਕਦਾ ਹੈ। ਪ੍ਰਵੇਸ਼ ’ਤੇ ਹੀ ਵਿਗੜੇ ਪੈਰਾਮੀਟਰ ਨਾਮਨਜ਼ੂਰ ਕਰਨ ਵਾਲੀਆਂ ਲਾਇਬ੍ਰੇਰੀਆਂ ਅਸਲੀ ਕੰਮ ਕਰਦੀਆਂ ਹਨ, ਇਸ ਲਈ ਹੱਥ ਨਾਲ ਲਿਖੀ ਪੈਰਾਮੀਟਰ ਵਿਸ਼ਲੇਸ਼ਣ ਮਿਹਨਤ ਬਚਾਉਣ ਲਈ ਮਾੜੀ ਥਾਂ ਹੈ।

ਪੂਰਵ-ਗਣਨਾ ਹਮਲਾਵਰ ਨੂੰ ਅਸਲ ਵਿੱਚ ਕੀ ਦਿੰਦੀ ਹੈ

ਸੰਖਿਆ-ਖੇਤਰ ਛਾਣਨੀ ਦਾ ਇੱਕ ਪੜਾਅ ਸਿਰਫ਼ ਅਭਾਜ ਸੰਖਿਆ ’ਤੇ ਨਿਰਭਰ ਕਰਦਾ ਹੈ, ਅਤੇ ਉਸ ਦਾ ਨਤੀਜਾ ਉਸ ਅਭਾਜ ਸੰਖਿਆ ਨੂੰ ਵਰਤਣ ਵਾਲੀ ਹਰ ਅਦਲ-ਬਦਲ ਵਿਰੁੱਧ ਦੁਬਾਰਾ ਵਰਤਿਆ ਜਾ ਸਕਦਾ ਹੈ। ਇਤਿਹਾਸਕ ਚਿੰਤਾ ਪਿੱਛੇ ਇਹੀ ਪੂਰੀ ਕਾਰਵਾਈ ਹੈ: ਮਹਿੰਗਾ ਹਿੱਸਾ ਇੱਕ ਵਾਰ ਭਰਿਆ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਹਰ ਅਗਲੇ ਸੈਸ਼ਨ ਦਾ ਸੀਮਾਂਤ ਖਰਚ ਘਟਦਾ ਹੈ। ਨਵੇਂ ਘਾਤਾਂਕ ਅਜੇ ਵੀ ਹਰ ਵਿਅਕਤੀਗਤ ਅਦਲ-ਬਦਲ ਨੂੰ ਨਿਸ਼ਕਿਰਿਆ ਨਿਰੀਖਕ ਤੋਂ ਬਚਾਉਂਦੇ ਹਨ, ਜਿੰਨਾ ਚਿਰ ਸਮੂਹ ਛਾਣਨੀ ਨੂੰ ਅਸੰਭਵ ਬਣਾਉਣ ਲਈ ਕਾਫ਼ੀ ਵੱਡਾ ਹੋਵੇ। ਦੋਵੇਂ ਕਥਨ ਸੁਸੰਗਤ ਹਨ, ਅਤੇ ਇਸ ਵਿਸ਼ੇ ਦੀਆਂ ਬਹੁਤੀਆਂ ਬਹਿਸਾਂ ਇੱਕ ਚੁਣ ਕੇ ਦੂਜਾ ਛੱਡਣ ਨਾਲ ਪੈਦਾ ਹੁੰਦੀਆਂ ਹਨ।

2015 ਦੇ Logjam ਪੱਤਰ ਨੇ 512-ਬਿਟ ਨਿਰਯਾਤ-ਦਰਜੇ ਦੇ Diffie-Hellman ਵੱਲ ਘਟਾਅ ਦਿਖਾਇਆ ਅਤੇ ਅੰਦਾਜ਼ਾ ਲਾਇਆ ਕਿ ਵੱਡੇ, ਵਿਆਪਕ ਤੌਰ ’ਤੇ ਦੁਬਾਰਾ ਵਰਤੇ ਜਾਂਦੇ ਸਮੂਹਾਂ ’ਤੇ ਮਹੱਤਵਪੂਰਨ ਸਰੋਤਾਂ ਨਾਲ ਹਮਲਾ ਕਰਨ ਦਾ ਕੀ ਖਰਚ ਹੋਵੇਗਾ। ਪ੍ਰਦਰਸ਼ਨ ਠੋਸ ਸੀ, ਅੰਦਾਜ਼ੇ ਅੰਦਾਜ਼ੇ ਸਨ, ਅਤੇ ਦੋਵਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਇਹ ਸਬੂਤ ਨਹੀਂ ਸੀ ਕਿ ਕੋਈ ਖਾਸ VPN ਸੈਸ਼ਨ ਡੀਕ੍ਰਿਪਟ ਹੋਇਆ।

ਪੱਤਰ ਦਾ ਹਵਾਲਾ ਕਾਰਵਾਈ ਅਤੇ ਦਿਖਾਏ ਘਟਾਅ ਲਈ ਦਿਓ, ਆਪਣੀ ਤੈਨਾਤੀ ਦੇ ਮਾਪ ਵਜੋਂ ਨਹੀਂ। ਕਿੰਨੇ ਸਰਵਰਾਂ ਨੇ ਡਿਫਾਲਟ ਸਮੂਹ ਸਾਂਝਾ ਕੀਤਾ, ਇਸ ਦੇ ਪੁਰਾਣੇ ਅੰਕੜੇ ਉਸ ਸਾਲ ਦੇ ਇੰਟਰਨੈੱਟ ਦਾ ਵਰਣਨ ਕਰਦੇ ਹਨ, ਨਾ ਕਿ ਅੱਜ ਤੁਸੀਂ ਜਾਂਚ ਸਕਣ ਵਾਲੇ ਨੈੱਟਵਰਕ ਦਾ। ਅੱਗੇ ਲਿਜਾਣ ਯੋਗ ਲਾਭਦਾਇਕ ਗੱਲ ਸਵਾਲ ਹੈ: ਕੀ ਤੁਹਾਡੇ ਯੰਤਰ ਅਜੇ ਵੀ ਛੋਟੇ ਜਾਂ ਕਮਜ਼ੋਰ ਤਸਦੀਕ ਵਾਲੇ ਸਮੂਹ ’ਤੇ ਗੱਲਬਾਤ ਕਰਦੇ ਹਨ?

ਮਿਆਰੀਕ੍ਰਿਤ ਹੋਣਾ ਕਮਜ਼ੋਰ ਹੋਣਾ ਨਹੀਂ ਹੈ

RFC 7919 ਨਾਮਿਤ ਸੀਮਤ-ਖੇਤਰ ਸਮੂਹ ਪਰਿਭਾਸ਼ਿਤ ਕਰਦਾ ਹੈ, ਤਾਂ ਜੋ ਦੋਵੇਂ ਸਿਰੇ ਪਛਾਣਕਰਤਾ ਰਾਹੀਂ ਸਮੂਹ ’ਤੇ ਸਹਿਮਤ ਹੋਣ ਅਤੇ ਇਕਸਾਰ ਨੀਤੀ ਲਾਗੂ ਕਰਨ। ਮਿਆਰੀਕ੍ਰਿਤ ਹੋਣਾ ਇੱਕ ਲਾਭ ਹੈ, ਕਿਉਂਕਿ ਇਹ ਗੱਲਬਾਤ ਦੀ ਅਸਪਸ਼ਟਤਾ ਹਟਾਉਂਦਾ ਹੈ ਅਤੇ ਲਾਗੂਕਰਨ ਨੂੰ ਅਸਮਰਥਿਤ ਆਕਾਰ ਨਾਮਨਜ਼ੂਰ ਕਰਨ ਦਿੰਦਾ ਹੈ। ਨਾਮਿਤ ਸਮੂਹ ਤਦ ਹੀ ਕਮਜ਼ੋਰ ਹੁੰਦਾ ਹੈ ਜਦੋਂ ਉਸ ਦਾ ਆਕਾਰ ਤੁਹਾਡੇ ਦੱਸੇ ਪਾਲਣ ਵਾਲੀ ਨੀਤੀ ਤੋਂ ਘੱਟ ਹੋਵੇ, ਦਸਤਾਵੇਜ਼ ਵਿੱਚ ਦਿਸਣ ਕਰਕੇ ਨਹੀਂ। ਇਹੋ ਤਰਕ ਦੀਰਘਵ੍ਰਿੱਤੀ ਵਕਰ ਸਮੂਹਾਂ ’ਤੇ ਵੀ ਲਾਗੂ ਹੁੰਦਾ ਹੈ, ਜਿਨ੍ਹਾਂ ਦੀ ਬਣਤਰ ਅਤੇ ਅਸਫਲਤਾ ਦੇ ਢੰਗ ਵੱਖਰੇ ਹਨ।

ਉਨ੍ਹਾਂ ਬਾਰੇ ਸੋਚਦਿਆਂ ਬਣਤਰਾਂ ਨੂੰ ਵੱਖਰਾ ਰੱਖੋ। ਸੀਮਤ-ਖੇਤਰ Diffie-Hellman ਬਾਰੇ ਸਿੱਟਾ X25519 ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦਾ, ਅਤੇ 1024-ਬਿਟ MODP ਸਮੂਹ ਬਾਰੇ ਸਿੱਟਾ 3072-ਬਿਟ ਸਮੂਹ ਬਾਰੇ ਕੁਝ ਨਹੀਂ ਕਹਿੰਦਾ। ਸ਼ਕਤੀ ਨੀਤੀ ਪ੍ਰਤੀ ਕਾਰਵਾਈ, ਪ੍ਰਤੀ ਆਕਾਰ ਅਤੇ ਪ੍ਰਤੀ ਪ੍ਰੋਟੋਕੋਲ ਸੰਸਕਰਣ ਹੈ, ਇਸ ਲਈ ਮਜ਼ਬੂਤ ਕ੍ਰਿਪਟੋਗ੍ਰਾਫੀ ਵਾਕੰਸ਼ ਸਮੀਖਿਆਯੋਗ ਕਥਨ ਨਹੀਂ ਹੈ।

ਪ੍ਰਮਾਣਿਕਤਾ ਦੂਜਾ ਅੱਧਾ ਹੈ, ਅਤੇ ਇਹ ਵਿਕਲਪ ਨਹੀਂ। ਸਾਥੀ ਤਸਦੀਕ ਬਿਨਾਂ ਮਜ਼ਬੂਤ ਸਮੂਹ ਹਮਲਾਵਰ ਨੂੰ ਵਿਚਕਾਰ ਛੱਡਦਾ ਹੈ, ਅਤੇ ਵੈਧ ਸਰਟੀਫਿਕੇਟ 768-ਬਿਟ ਅਦਲ-ਬਦਲ ਨੂੰ ਨਹੀਂ ਬਚਾ ਸਕਦਾ। ਇਨ੍ਹਾਂ ਨੂੰ ਦੋ ਸੁਤੰਤਰ ਲਾਈਨਾਂ ਵਜੋਂ ਸਮੀਖਿਆ ਕਰੋ, ਫਿਰ ਪੁਸ਼ਟੀ ਕਰੋ ਕਿ ਦੋਵੇਂ ਸੱਚਮੁੱਚ ਗੱਲਬਾਤ ਵਿੱਚ ਹਨ।

ਅਸਲ ਕਨੈਕਸ਼ਨ ’ਤੇ ਗੱਲਬਾਤ ਕੀਤਾ ਸਮੂਹ ਪੜ੍ਹੋ

ਗੱਲਬਾਤ ਕੀਤਾ ਸਮੂਹ ਕਨਫਿਗਰੇਸ਼ਨ ਟੈਂਪਲੇਟ ਤੋਂ ਨਹੀਂ, ਯੰਤਰ ਤੋਂ ਪੜ੍ਹੋ। ਟੈਂਪਲੇਟ ਇਰਾਦਾ ਦਰਸਾਉਂਦੇ ਹਨ, ਅਤੇ ਦਿਲਚਸਪ ਮੁੱਲ ਉਹ ਹੈ ਜਿਸ ’ਤੇ ਦੋਵੇਂ ਧਿਰਾਂ ਨੇ ਪਿਛਲੇ ਹੱਥ ਮਿਲਾਉਣ ਵੇਲੇ ਸਹਿਮਤੀ ਦਿੱਤੀ। IPsec ਸਿਰੇ ’ਤੇ ਸਥਿਤੀ ਆਉਟਪੁੱਟ ਆਮ ਤੌਰ ’ਤੇ ਚੁਣਿਆ ਪ੍ਰਸਤਾਵ ਛਾਪਦਾ ਹੈ, MODP ਸਮੂਹ ਸਮੇਤ।

ਨੀਤੀ ਬਦਲਾਅ ਤੋਂ ਪਹਿਲਾਂ ਅਤੇ ਬਾਅਦ ਉਹ ਲਾਈਨ ਕੈਪਚਰ ਕਰੋ, ਅਤੇ ਦੋਵੇਂ ਬਦਲਾਅ ਰਿਕਾਰਡ ਵਿੱਚ ਰੱਖੋ। ਤੁਲਨਾ ਹੀ ਸਬੂਤ ਹੈ।

ipsec statusall | grep -Ei "proposal|ESP|IKE"
openssl dhparam -in /etc/vpn/dh3072.pem -check -noout

ਜੇ ਬਦਲਾਅ ਤੋਂ ਬਾਅਦ ਵੀ ਸਥਿਤੀ ਪੁਰਾਣਾ ਸਮੂਹ ਦਿਖਾਉਂਦੀ ਹੈ, ਤਾਂ ਕਨੈਕਸ਼ਨ ਨੇ ਦੁਬਾਰਾ ਗੱਲਬਾਤ ਨਹੀਂ ਕੀਤੀ ਅਤੇ ਕਨਫਿਗਰੇਸ਼ਨ ਸੋਧ ਨੇ ਕੁਝ ਸਾਬਤ ਨਹੀਂ ਕੀਤਾ। ਸਾਥੀ ਨੂੰ ਦੁਬਾਰਾ ਚਾਲੂ ਕਰੋ ਜਾਂ ਸੁਰੱਖਿਆ ਸੰਗਠਨ ਮਿਟਾਓ, ਫਿਰ ਸਥਿਤੀ ਦੁਬਾਰਾ ਪੜ੍ਹੋ। ਕੇਵਲ ਨਵੇਂ ਕਨੈਕਸ਼ਨਾਂ ’ਤੇ ਲਾਗੂ ਨੀਤੀ ਲੰਮੇ ਚੱਲਣ ਵਾਲੇ ਟਨਲਾਂ ਨੂੰ ਉਨ੍ਹਾਂ ਦੇ ਚੱਲਣ ਤੱਕ ਪੁਰਾਣੇ ਪੈਰਾਮੀਟਰਾਂ ’ਤੇ ਰੱਖੇਗੀ।

ਸਮੂਹ ਅਤੇ ਸਾਥੀ ਦੀ ਪਛਾਣ ਵੱਖਰੇ ਤੌਰ ’ਤੇ ਜਾਂਚੋ

ਸਮੂਹ ਕਿਸ ਦੀ ਰੱਖਿਆ ਕਰਦਾ ਹੈ ਅਤੇ ਦੂਜੇ ਸਿਰੇ ’ਤੇ ਕੌਣ ਹੈ, ਇਹ ਵੱਖ ਕਰੋ। ਕੁੰਜੀ-ਅਦਲ-ਬਦਲ ਢੰਗ, ਸਮੂਹ ਦਾ ਆਕਾਰ ਅਤੇ ਪ੍ਰਮਾਣਿਕਤਾ ਢੰਗ ਤਿੰਨ ਖੇਤਰਾਂ ਵਜੋਂ ਦਰਜ ਕਰੋ, ਕਿਉਂਕਿ ਇਹ ਸੁਤੰਤਰ ਰੂਪ ਵਿੱਚ ਅਸਫਲ ਹੁੰਦੇ ਹਨ। 3072-ਬਿਟ ਸਮੂਹ ’ਤੇ ਗੱਲਬਾਤ ਕਰਨ ਵਾਲਾ ਪਰ ਕੋਈ ਵੀ ਸਰਟੀਫਿਕੇਟ ਸਵੀਕਾਰ ਕਰਨ ਵਾਲਾ ਟਨਲ, ਸਾਥੀ ਨੂੰ ਪਿੰਨ ਕਰਕੇ 2048-ਬਿਟ ਸਮੂਹ ਵਰਤਣ ਵਾਲੇ ਟਨਲ ਵਾਂਗ ਹੀ ਖ਼ਤਰਾ ਨਹੀਂ ਹੈ।

ਸਮੀਖਿਆ ਸ਼ੁਰੂ ਹੋਣ ਤੋਂ ਪਹਿਲਾਂ ਸਵੀਕ੍ਰਿਤੀ ਮਾਪਦੰਡ ਲਿਖੋ, ਤਾਂ ਜੋ ਨਤੀਜਾ ਰਾਏ ਨਹੀਂ ਸਗੋਂ ਤੁਲਨਾ ਹੋਵੇ। ਪ੍ਰਤੀ ਪ੍ਰੋਟੋਕੋਲ ਸੰਸਕਰਣ ਘੱਟੋ-ਘੱਟ ਸਮੂਹ ਆਕਾਰ, ਨਾਮਿਤ ਸਮੂਹਾਂ ਦੀ ਆਗਿਆ ਸੂਚੀ ਅਤੇ ਲਾਜ਼ਮੀ ਸਾਥੀ ਤਸਦੀਕ ਫ਼ੈਸਲੇ ਨੂੰ ਯਾਂਤ੍ਰਿਕ ਬਣਾਉਣ ਲਈ ਕਾਫ਼ੀ ਹਨ। ਉਸ ਸੂਚੀ ਦੀ ਅਸਪਸ਼ਟਤਾ ਹੀ ਸਮੀਖਿਆ ਨੂੰ ਬਹਿਸ ਵਿੱਚ ਬਦਲਦੀ ਹੈ, ਅਤੇ ਬਹਿਸਾਂ ਦਾ ਸੁਧਾਰ ਨਹੀਂ ਹੁੰਦਾ। ਫਿਰ ਆਉਟਪੁੱਟ ਉਨ੍ਹਾਂ ਸਿਰਿਆਂ ਦੀ ਸੂਚੀ ਹੈ ਜੋ ਐਲਾਨਿਆ ਨਿਯਮ ਅਸਫਲ ਕਰਦੇ ਹਨ।

ipsec statusall | grep -Ei "peer|auth|cert"
openssl s_client -connect vpn.acme.example:443 -brief -cipher 'DHE-RSA-AES256-GCM-SHA384'

ਸੁਧਾਰ ਤੋਂ ਬਾਅਦ ਗੱਲਬਾਤ ਕੀਤੇ ਮੁੱਲ ਦੁਬਾਰਾ ਪੜ੍ਹ ਕੇ ਚੱਕਰ ਬੰਦ ਕਰੋ। ਅਨੁਕੂਲ ਕਨਫਿਗਰੇਸ਼ਨ ਫਾਈਲ ਇਹ ਸਬੂਤ ਨਹੀਂ ਹੈ ਕਿ ਕਿਸੇ ਟਨਲ ਨੇ ਇਸ ਨੂੰ ਅਪਣਾਇਆ। ਸਥਿਤੀ ਆਉਟਪੁੱਟ ਅਤੇ ਇੱਕ ਨਵਾਂ ਹੱਥ ਮਿਲਾਉਣਾ ਸਬੂਤ ਹਨ, ਅਤੇ ਉਨ੍ਹਾਂ ਨੂੰ ਇਕੱਠਾ ਕਰਨਾ ਇਸ ਬੈਠਕ ਨਾਲੋਂ ਘੱਟ ਸਮਾਂ ਲੈਂਦਾ ਹੈ ਕਿ ਇਹ ਜ਼ਰੂਰੀ ਹਨ ਜਾਂ ਨਹੀਂ।