د DH فایل که د tls-auth کیلي؟ د دوو OpenVPN فایلونو توپیر

دوه فایلونه، دوه لارښوونې او دا عادت چې دواړه د هغه شي په نوم ونومو چې تنظیموي یې. همداسې dh.pem د tls-auth په کرښه کې ځای پېدا کوي او کلاینټ د ناڅاپي کیل بڼې په اړه په پیغام سره ناکام شي. ستاسو مخې ته پرېکړه دا نه ده چې کوم فایل پیاوړی دی. دا ده چې ځای پرځای کول واقعاً کوم رول ته اړتیا لري، او درې شرطونه یې فیصله کوي: ستاسو TLS سټک کوم د کیل تبادله خبرې اترې کوي، آیا تاسو د کنټرول چینل تصدیق غواړئ، او آیا توکي باید پټ پاتې شي.

د دوی ځواب په ترتیب سره ورکړئ او د فایل پوښتنه به پخپله ځواب شي. که یې پرېږدئ، د لارښوونو نومونه به یو بل ته د بدلېدو وړ ښکاره شي، او تېروتنه همدغه حالت ته رسېږي.

د فایل له نوم مخکې لیبل ولولئ

د فایل لومړۍ کرښه له نوم څخه ډېره معلومات ورکوي، ځکه نوم انساني دود دی او لیبل یې وسیله جوړوي. Diffie-Hellman پیرامیټرونه د BEGIN DH PARAMETERS PEM لیبل لري. د OpenVPN ثابته کیلي بشپړه بېله جوړښت ده، خپل سرلیک او هکس پیلوډ لري.

د نوم بدلول هېڅ نه بدلوي. د ta.key نوم پیرامیټر فایل لا هم پیرامیټرونه دي، او د dh.pem نوم ثابته کیلي لا هم ثابته کیلي ده؛ پارسر منځپانګه لولي او ناسم والی ردوي. د پروفایل له سمولو مخکې وګورئ:

head -n 1 dh.pem
head -n 1 ta.key

درې شرطونه چې ټاکي کوم فایل ته اړتیا لرئ

لومړی شرط تبادله ده. د محدود ساحې Diffie-Hellman لاس ورکول یوه ډله غواړي، او dh لارښوونه هغه ځای دی چې سرور ورته پیرامیټرونه نوموي. د بیضوي منحني لاس ورکول هغه فایل ته هېڅ اړتیا نه لري، ځکه منحني پخپله د پیرامیټرونو ټولګه ده. که ستاسو سرور یوازې ECDHE سیټونه خبرې اترې کوي، نو DH فایل اضافي ځواک نه، مړه بار دی.

دویم شرط د کنټرول چینل تصدیق دی، چې خپل توکي لري او جلا ځانګړتیا ده. د tls-auth فایل هغه شریکه ثابته کیلي ده چې دواړه خواوې یې لري او د کنټرول چینل پاکټونو لاسلیک لپاره کارول کېږي، تر څو نا تصدیق شوې خوا لاس ورکول هم نشي بشپړولی. که د محدود ساحې DH وکاروئ یا نه، دا شته او د ډلې پیرامیټرونو سره هېڅ تړاو نه لري.

درېیم شرط پټتوب او وېش دی. DH پیرامیټرونه پرته له دې چې ناسته کمزورې شي خپرېدای شي، ځکه پټ ارزښتونه د هر لاس ورکولو لپاره جوړېږي او هېڅکله خواوې نه پرېږدي. ثابته کیلي باید خپره نشي: دا دواړو سرونو کې یو شان بایټونه دي، پخپله نه څرخي، او هر څوک چې یې لري کولای شي د کنټرول چینل معتبر لاسلیکونه جوړ کړي. دا دوه ځوابونه بشپړ بېلو چلند قاعدو ته اشاره کوي، نو یو فایل کولای شي په زېرمه کې وي، بل نه.

د هر رول لپاره سم توکي جوړ کړئ

هغه وسیله وکاروئ چې لارښوونه یې تمه لري هغه بڼه جوړوي، د دوی ترمنځ د بدلون پر ځای. په OpenVPN 2.6 کې د شریکې کیلي لپاره د جوړوونکي ټایپ شوې بڼه هدف په روښانه توګه بیانوي.

openvpn --genkey tls-auth ta.key

هغه امر نوي پټ توکي جوړوي؛ دا شته کیلي نه جوړوي او نه کتنه کوي، او بیا چلول به تاسو ته بېله کیلي درکړي چې نورې خواوې یې نه لري. پایله فایل هغو خواو ته چې ورته اړتیا لري د هغه چینل له لارې کاپي کړئ چې د هر شریک پټ راز لپاره یې کاروئ، او د لوري دود یو شان وساتئ: د tls-auth سره یوه خوا key-direction 0 او بله key-direction 1 کاروي.

DH پیرامیټرونه، کله چې ورته اړتیا وي، د پیرامیټر جوړولو څخه راځي نه د کیلي جوړوونکي څخه، او پایله عامه وي هم، د دوی سرچینه مهمه ده. له نامعلومې سرچینې اخیستل شوې ډله په عامه کېدو سره باوري نه کېږي؛ دا لا هم باید هغه ډله وي چې ستاسو خواوې پرې موافقې دي او هغه چې د هغې اندازه یا جوړښت کمزورې نه کړې وي.

dh none څه مانا لري او څه نه

dh none د تنګې مانا ریښتینې لارښوونه ده: د محدود ساحې هېڅ پیرامیټر فایل به بار نشي، ځکه لاس ورکول د بیضوي منحني Diffie-Hellman کاروي. دا د «DH ګام پرېږده» لنډه بڼه نه ده په دې مانا چې څه کمزوري کړي، او هېڅکله OpenVPN ته نه وایي چې بل فایل د بدیل په توګه ومني.

له ناسم لوستلو دوه تېروتنې راځي. لومړی دا چې فکر وکړو dh none د tls-auth اړتیا لرې کوي، حال دا چې دواړه بېل شیان کنټرولوي. دویم دا چې یوازې منحني ترتیب څنګ ته زوړ dh کرښه وساتو او بیا حیران شو چې سرور واقعاً کوم فایل کاروي؛ که لارښوونه شته، فایل لوستل کېږي، او هلته مات لار د هغې تبادلې سره تړاو نه لرونکې دلیل له امله پیل ناکاموي چې خبرې به پرې وشي.

که ناسم فایل لا دمخه ځای پرځای شوی وي

د پروفایل له مالک څخه پټ راز بیرته راوګرځوئ او د دې په کولو کې د سند تصدیق ته لاس مه وروړئ. ناکامي د بڼې ناسم والی ده، د باور ناکامي نه، او د تېروتنې د تېرېدو لپاره تصدیق بندول د پیل ستونزه په خاموشه ستونزه بدلوي.

بیا هغه دوه پېښې جلا کړئ چې خلک یې یوځای کوي. د DH پیرامیټر فایل خپرول نږدې بې ضرره دي، ځکه پیرامیټرونه په ډیزاین عامه وو. د tls-auth کیلي افشا کول بله پېښه ده: کیلي د هرې هغې خوا لپاره چې یې لري د کنټرول چینل پاکټونه تصدیقوي، نو ځای ناستی باید په یوه کوربه نه بلکې په ټول ځای پرځای کولو کې همغږی شي.

پنځه دقیقې کتنه فیصله کوي چې په کوم حالت کې یاست: د هر فایل لومړۍ کرښه ولولئ، هغه لارښوونه چې ورته اشاره کوي تایید کړئ، او تایید کړئ چې د فایل وېش د توکو اړتیا سره سمون لري. دا له فعال PKI بیا جوړولو کوچنی کار دی، او درې شرطونه همدا مهال ورته اشاره کولې.