د OpenVPN لاگ: د کنټرول چینل سایفر او د ډاټا چینل سایفر

د لاگ هغه کرښه چې DHE-RSA-AES256-SHA نوموي، د ټول اړیکې لنډیز نه دی۔ دا د TLS هغه لاس ورکولو پورې اړه لري چې کنټرول چینل ساتي، او د تونل دننه ټرافیک کېدای شي په بشپړ ډول بل څه کوډ شي۔ دا د VPN د ډاټا سایفر په توګه راپورول هغه تېروتنه ده چې باید ترې ډډه وشي۔

دوه پایلې مهمې دي او دوه جلا پوښتنو ته ځواب وایي۔ یوه د کنټرول چینل لپاره د TLS هوکړه شوې ټولګه ده، بله د هغو پاکټونو ډاټا سایفر دی چې تونل یې وړي۔

دوه پایلې، دوه پوښتنې

کنټرول چینل لاس ورکول او د همکارانو ترمنځ مدیریتي پیغامونه وړي۔ د هغه سایفر د TLS سټیک غوره کوي، نو نوم یې د TLS دودونه تعقیبوي۔ ډاټا چینل د کاروونکو ټرافیک وړي او د OpenVPN خپل سایفر مذاکره یې تنظیموي۔

دمخه یې فیصله وکړئ چې کومې پوښتنې ته ځواب وایاست، بیا هر کرښه ولولئ۔ دا چې تونل کوډ شوی که نه او دا چې لاس ورکول پیاوړي دي که نه، یوه پوښتنه نه ده۔

د لاگ هغه ټوټه ګټوره ده چې دواړه کرښې ښیي۔ د TLS نسخې او ټولګې لپاره کنټرول کرښه ولولئ، او د هغه الګوریتم لپاره ډاټا کرښه چې بار په رښتیا ساتي۔

د TLS د ټولګې نوم په خپل شرایطو کې څنګه ولولو

په یوه تاریخي OpenSSL سټایل نوم لکه DHE-RSA-AES256-SHA کې، هر برخه یوه جلا پرېکړه بیانوي۔ DHE د Diffie-Hellman لنډمهاله کیلي هوکړه ده، RSA د تصدیق کولو طریقه ده، AES256 د TLS ریکارډونو لپاره په CBC حالت کې AES-256 دی، او SHA د SHA-1 پر بنسټ ریکارډ MAC دی۔

وروستۍ برخه د سند د ګوتې نښه نه ده، او دا داسې لوستل یوه عامه تېروتنه ده۔ نوم په خپله د پروتوکول نسخه نه وایي، ځکه چې TLS 1.3 په بشپړ ډول بېل نومول شوی سکیم کاروي۔ TLS_AES_256_GCM_SHA384 هغه نوي بڼه تعقیبوي، چېرې چې پای هش د MAC د انتخاب پرځای د ټولګې جوړښت برخه ده۔ د برخو لوستل یوازې پر زوړ نومول شوي سټایل پلي کړئ۔

د OpenSSL ټولګو مرجع دا نومونه د هغو تعریفونو سره نښلوي که یوه برخه ناپېژندلې وي۔

د وړل شوي ټرافیک لپاره د ډاټا چینل پایله ولولئ

د وړل شوي ټرافیک لپاره د همدې ناستې څخه د ډاټا چینل کرښه ولولئ۔ په ترتیباتو کې data-ciphers لیست یوه اجازه شوې ټولګه ده، نه دا ثبوت چې یو ځانګړی الګوریتم هوکړه شوی۔ لاگ انتخاب ثبتوي، ترتیبات بیا مینو ثبتوي۔

لکه AES-GCM په څېر AEAD سایفر خپله بشپړتیا څېړنه لري، نو د ډاټا چینل جلا HMAC د دې لارې برخه نه ده۔

auth لارښوونه TLS، سندونه یا ډاټا سایفر نه لوړوي۔ دا د پروتوکول هغو برخو لپاره digest غوره کوي چې لا هم یو کاروي، او د AEAD ډاټا سایفر سره جلا ډاټا HMAC د تنظیم لپاره نشته۔

د پیژندنې څېړنې د سایفر له پایلې بهر وساتئ

د سند د لاسلیک الګوریتم، د باور ځنځیر تصدیق او د همکار د نوم تصدیق درې نورې ځانګړنې دي چې د سایفر نوم پرې هیڅ نه وایي۔ پای موده شوی سند ناکامېږي، هر څومره چې ټولګه پیاوړې وي۔ ناسم سرور نوم ورته ناکامېږي۔ په پروفایل کې د digest ترتیب سمول هم دواړه نه جوړوي۔

هغه څېړنې د سایفر پایلې ترڅنګ په بیاکتنې یادښتونو کې وساتئ، نه په هغې کې یوځای شوې۔

د اوسنې ناستې هوکړه شوې پایلې ثبت کړئ

د اوسنې اړیکې پایلې واخلئ او د کاروونکي او سرور نسخې ورسره ثبت کړئ۔ یوازې زیاتوونکی لاگ کېدای شي د پخوانۍ ناستې کرښه وساتي، او دا د اوسنې په توګه نقلول هغه څه دي چې سمه شوې ستونزه د دوامداره ښکاري۔

د پالیسۍ بیاکتنې لپاره د ترتیباتو مالک ته هوکړه شوې TLS نسخه او ټولګه، غوره شوی ډاټا سایفر او د سند د تصدیق ترتیبات یوځای ورکړئ۔ هغه پوړ بدل کړئ، بیا نوی لاگ ولولئ ترڅو نوي هوکړه شوي ارزښتونه تایید کړئ۔