ولې openssl rand هغه کیلي نه شي جوړولی چې tls-crypt یې غواړي

OpenSSL لا دمخه نصب دی، کوربه انټروپي لري، او په هغې سره کیلي جوړول روښانه لنډه لار ښکاري۔ پایله به ناڅاپي او پټه او بشپړه بېګټې وي، او ناکامي به د کیلي فارمېټ یادولو پر ځای د کنټرول چینل خطا په څېر راشي۔ همدا ګمراهي ګرانۍ برخه ده، ځکه خلک د خپلو سایفرونو کتلو ته لېږي۔ هغه څه چې VPN یې لولي یو ځانګړی فایل جوړښت دی، نه کوم خپل سری بایټ بلاک، او دې ځانګړنې یو ډول له سروره بهر په بشپړه توګه نه شي جوړېدلی۔

په ډیسک کې فایل واقعاً باید څه وي

د OpenVPN سټاټیک کیلي فایل متن دی۔ دا د یوې تبصرې کرښې سره پیل کېږي چې اعلانوي دا څه دی، په ثابت عرض کرښو کې هیکس معلومات لېږدوي، او په ټولیز ډول 256 بایټ کیلي مواد لري۔ OpenVPN دا د کنټرول چینل شریک راز په توګه لولي، نه د سند په توګه، نه د پټنوم جملې په توګه او نه د هغه څه په توګه چې TLS کتابتون به یې پېژني۔

همدا ډول شی د کنټرول چینل دواړو ځانګړنو ته خدمت کوي۔ د tls-auth سره، هر پېر ته لوری هم اړین دی ترڅو د یوې خوا پیکټونه دې خواته بیرته منعکس نه شي۔ د tls-crypt سره، یو ګډ راز کنټرول چینل په دواړو لورو کې کوډ کوي او تصدیقوي، چې لاس ورکول پټوي او په ورته وخت کې یې ساتنه کوي۔

له دې هیڅ یو پټ پوهه نه ده، او فارمېټ اصلي خبره نه ده۔ اصلي خبره دا ده چې فایل باید د لوستونکي د تمې سره سم سم برابر وي: سرلیک، کرښې عرض، پای نوی کرښه او ټوله اوږدوالی۔ یوه کرښه غلط فایل د کثافاتو په توګه لوستل کېږي یا په بشپړه توګه ناکامېږي۔ نو د دوو پېرونو بایټ په بایټ پرتله کول یو قانوني لومړنی ازموینه ده، او له دوو کنفیګریشن فایلونو څخه د هر یوه لوستلو په پرتله ګړندې ده۔

د یوې جوړولو ملاتړ شوې لار

ساده سټاټیک کیلي د هغه وسیلې سره جوړه کړئ چې دا به وکاروي، بیا له دواړو سرونو څخه دې ته اشاره وکړئ:

openvpn --genkey secret /etc/openvpn/tc-shared.key
tls-crypt /etc/openvpn/tc-shared.key

د اختیار املا په وخت کې بدله شوه: د 2.4 دورې پخواني نصبونه د فایل نوم دمخه جلا بیرغ لرونکې بڼه کاروله، خو اوسني بیلډونه لنډه مني۔ په هر حال پایله فایل هماغه ډول شی دی، نو پلټنه دا ده چې ایا دواړه پېرونه ورته بایټونه لري۔

دویم نسل داسې جوړښت اضافه کوي چې هیڅ بهرنی جنریټر یې نه شي اختراع کولی۔ سرور کیلي یو ځل جوړېږي، او هر کلاینټ له هغې اخیستل شوې پېچلې کیلي ترلاسه کوي:

openvpn --genkey tls-crypt-v2-server /etc/openvpn/tc-v2-server.key
openvpn --genkey tls-crypt-v2-client /etc/openvpn/laptop1.key --tls-crypt-v2 /etc/openvpn/tc-v2-server.key

هغه څه چې کلاینټ یې ترلاسه کوي د سرور خپله کیلي کاپي نه ده۔ دا یو پېچلی شی دی چې هغه میټاډاټا لري چې یوازې سرور یې پرانیستلی شي، او همدا پېچل توب لامل دی چې د یوې وسیلې فایل له بلې هرې وسیلې پرته باطلېدلی شي۔ سرور کیلي پر سرور وساتئ او دا د هغې وسیلې پر بنسټ باور ریښه وګڼئ۔

چېرې چې لاسي بایټونه ماتېږي

د سم سرلیک لاندې 256 ناڅاپي بایټونه د هیکس په توګه چاپول به په تیوري کې داسې سټاټیک کیلي فایل ورکړي چې لوستل کېږي۔ دا بیا هم بد نظر دی۔ هر فارمېټینګ تفصیل د دې فرصت ګرځي چې داسې مواد جوړ شي چې د لوستلو پر مهال ناکام شي یا، بدتر، دوه پېرونه په بېلو ارزښتونو پرېږدي چې یوازې د تصدیق ناکامۍ په توګه څرګندېږي۔

د v2 ډول سره ورته هیڅ شی ممکن نه دی۔ پېچلې کلاینټ کیلي یوازې د سرور کیلي پروسې د پایلې په توګه شتون لري، او سرور هغه مواد ساتي چې د هغې د پرانیستلو لپاره اړین دي۔ ناڅاپي بلاک به رد شي یا به په ساده ډول ونه شي کوډ پرانیستلی، او دواړه پیغامونه به د ناڅاپيتوب یادونه ونه کړي۔

د نسخې مطابقت د دې ټولو پورته دی۔ لومړي نسل ته داسې خپرونه غواړي چې په دواړو سرونو کې یې ملاتړ وکړي، او دویم ته بیا نوی خپرونه غواړي۔ هغه کلاینټ چې د ځانګړنې له شتون دمخه جوړ شوی وي، نشي کولی له هغه سرور سره لاس ورکول بشپړ کړي چې یوازې پېچلی مواد مني، او هغه ناکامي چې راپور یې ورکوي نسخې ته نه، بلکې کنټرول چینل ته اشاره کوي۔

د هر چا د بندولو پرته څرخول

د یو ګډ راز څرخول د همغږۍ تمرین دی، نه تخنیکي۔ هر کلاینټ باید بدیل فایل په لاس کې ولري دمخه له دې چې سرور پخوانی بیرته واخلي، او هر هغه ماشین چې لا هم زوړ ارزښت لري په هماغه شیبه ناکامېږي۔ دا څرخول د کاري ورځې په منځ کې مه پیلوئ۔

د v2 ترتیب سره، څرخول د هر وسیلې لپاره دي: یو ماشین ته نوې پېچلې کیلي صادره کړئ او زوړ یوازې هغه ماشین ته تقاعد کړئ۔ دا هغه اصلي دلیل دی چې کله هر کلاینټ د هغې ملاتړ کوونکې خپرونې په لاس کې وي، انتقال وکړئ۔

د فایل اجازې په همدې خبرې اړه لري۔ کیلي باید یوازې د هغه حساب لخوا لوستل کېدای شي چې خدمت چلوي، او باید د هغو پروفایلونو سره په یوه ذخیره کې نه وي چې دا یې ساتي۔ د OpenVPN 2.6 حواله د جوړولو بڼې او د کیلي مواد برخې مستند کوي، چې له فورم پوسټ څخه کاپي شوې امر په پرتله غوره سرچینه ده۔