د 8192 بټ کليډونه لاس ورکول بندوي؛ د 1024 بټ DH رد کیږي

په یو سرور کې کلینټان یو څه وخت ځنډېږي او بیا نښلېږي، او بل سمدلاسه د کليډ د اندازې په اړه د پیغام سره اړیکې ردوي۔ هغوی د بېلو غلطیو په څېر ښکاري او دا هغه یوه غلطي ده چې مخالف لوري ته اشاره کوي۔ د لاس ورکولو کرپټوګرافي لګښت لري چې د پارامېټرونو اندازې سره زیاتېږي، او یو لږ تر لږه حد هم لري چې عصري کتابتونونه ترې ښکته نه ځي۔ د موادو اندازه ټاکل همدا چک لیست دی، او لومړی ټکی دا دی چې پرېکړه وکړئ کومه یوه له دوه غلطیو واقعاً تاسو سره ده۔

له هر څه بیا جوړولو مخکې ناکامي ولولئ

وخت تاسو ته ډېره برخه یې وایي۔ لاس ورکول چې څو ثانیې نیسي او بیا مري، معمولاً معنا دا ده چې محاسبه د بل لوري صبر ته اوښتې، چې د سخت افزار یا مهال لپاره ډېرو لویو پارامېټرونو ته اشاره کوي۔ سمدلاسه رد چې د کليډ یا ګروپ اندازه نوموي، بل لوري ته، هغو موادو ته اشاره کوي چې کتابتون به هېڅکله یې ونه مني۔

دا دواړه مخالف سمونونه غواړي، او دلته ډېری هڅې غلطېږي۔ په هغه کلینټ چې لا دمخه یې کوچنی ګروپ رد کړی، د 8192 بټ پارامېټرونو بیا جوړول ورو حالت نور خرابوي او د چټک حالت لپاره هېڅ نه کوي۔ له فایل لاس وړاندې ولیکئ چې کومه نښه مو ولیده۔

بیا وګورئ چې له بل لوري څه غوښتل کیږي۔ د لوی محدود ساحې ګروپ لپاره سم تنظیم شوی سرور هر کلینټ اړباسي چې نه یوازې د نښلېدو پر مهال، بلکې په هر بیا خبرو اترو کې هماغه CPU وخت ولګوي۔ که ستونزه د پیل پر مهال نه، بلکې په منظمه وقفه کې ښکاره شي، هغه وقفه پیاوړې نښه ده چې کوم تنظیم ګران دی۔ بیا خبرې اترې ټوله محاسبه تکراروي، نو هغه تمه چې هر ساعت بېرته راځي معمولاً هماغه لګښت دی چې بیا ورکول کیږي۔

ورو حالت: هغه مواد چې سخت افزار یې نشي زغملای

د Diffie-Hellman او RSA کار د کليډ اندازې سره چټکه زیاتېږي، او دا ټول هغه مهال پېښېږي چې لا په تونل کې هېڅ ترافیک نه دی بهېدلی۔ په کوچني روټر یا کم ځواک کلینټ کې کافي لوی ګروپ کولای شي تبادله د بل لوري مهال نه بهر وټېل وکړي، نو اړیکه بیا هڅه کوي یا پرته له کومې غلطۍ یوازې ځنډېدلې ښکاري۔

سمون دا دی چې دې اندازې ته راټیټ شئ چې هر لوری یې ملاتړ کوي او هر وسیله یې په ارامۍ محاسبه کولای شي۔ د 2048 بټ RSA کليډ او د 2048 بټ ګروپ پراخه مطابقت لرونکې بنسټیزه کرښه پاتې کیږي؛ لویتر یوازې هغه مهال مرسته کوي چې ټول لوري سره موافق وي او پروسیسر یې په هر بیا خبرو اترو کې ورکولای شي۔ له دې بنسټیزې کرښې پورته هر څه په قصد شوې تبادله ده، نه تازه کول۔

اندازه کومه نمره نه ده، او د پرتلې جدول تر ټولو لوی عدد په اتوماتيک ډول سم انتخاب نه دی۔ هغه تر ټولو کوچنی ارزښت وټاکئ چې ستاسو تګلاره یې اجازه ورکوي او ټول لوري یې مني، بیا د دې پر ځای چې سم شوی یې ګڼئ، لاس ورکول اندازه کړئ۔ کوچنی ګروپ چې لا هم مهال ته رسېږي تاسو ته وایي چې اندازه هېڅکله ټوله کیسه نه وه۔

چټک حالت: هغه ګروپ چې کتابتون یې ردوي

عصري OpenSSL جوړښتونه تر ټولو کوچني محدود ساحې ګروپونه سمدلاسه ردوي، او لوړ شوی امنیتي کچه لږ تر لږه حد لا لوړ ته ټېل وهي۔ د روټر فرم ویئر چې د لسیزو زوړ پارامېټر فایل راوړي معمول سرچینه ده، او نښه هغه اړیکه ده چې سمدلاسه د ګروپ یا کليډ اندازې په نومولو پیغام سره ناکامېږي۔ په دې ناکامي کې هېڅ شی وقفې وقفې نه دی، او همدا لامل دی چې پېژندل یې اسانه دي۔

د چک پریښودو لپاره د ترتیباتو سمولو پر ځای فایل بدل کړئ۔ اوسنی ګروپ جوړ کړئ، اعتبار یې ورکړئ، بیا یې هغه ځای کې نصب کړئ چې ډیمون واقعاً لوستلای شي۔ زوړ فایل وساتئ تر څو چې کلینټ له نوي سره په بریالیتوب ونښلي:

openssl dhparam -out /etc/openvpn/ffdhe2048.pem 2048
openssl dhparam -in /etc/openvpn/ffdhe2048.pem -check -noout
ls -l /etc/openvpn/ffdhe2048.pem

د چک امر فایل اعتباروي او کله چې تېر شي هېڅ ګټور نه چاپوي؛ لیست تاییدوي چې تاسو هغه فایل بدل کړی چې خدمت یې باروي، نه د هغه ترڅنګ پخوانۍ کاپي۔ ترتیبات هغه لارې ته وګرځوئ، ډیمون بیا پیل کړئ، او تایید کړئ چې دمخه ناکام شوی کلینټ اوس لاس ورکول بشپړوي۔

که سرور امنیتي کچه یا د سند پروفایل هم ټاکي، له دې مخکې چې ګروپ غلط و ګڼئ هغوی ولولئ۔ هغه پروفایل چې سختې طبقې غوښتنه کوي کولای شي هغه مواد رد کړي چې تلوالې به یې منلی و، او دې تنظیم لرې کول له نړیوال بندولو څخه تنګتر بدلون دی۔

د بل لوري او سخت افزار لپاره اندازه وټاکئ

له عجیبه شي جوړولو مخکې ومومئ چې لرې پای څه زغملای شي۔ هغه وسیله چې د 2048 بټ ګروپ لپاره ډېره زړه ده د بدلولو وړ وسیله ده، ځکه چې سرور ضعیف ګروپ ته اړول یوازې د مطابقت شکایت خنډ ته اړوي۔ دوامداره سمونونه نوي سافټویر ته ځي، نه زاړه پارامېټرونو ته۔ په دې برخه کې هر لنډمهاله استثنا دایمي ترتیباتو کېدلو لاره لري۔

چېرې چې د سرور CPU حد دی، د تګلارې لاندې کېدو پر ځای الګوریتم بدل کړئ۔ د X25519 په څېر بیضوي منحني کليډ تبادله له لوی محدود ساحې ګروپ څخه په پراخه توګه ارزانه ده او پراخه ملاتړ لري، چې دا یې د فعالیت شکایت لپاره له کوچني RSA ماډول څخه غوره ځواب ګرځوي۔

هر څه چې وټاکئ، په یوه ریښتیني اړیکه یې وآزموئ او وګورئ چې لاس ورکول څومره وخت نیسي، نه یوازې دا چې په پای کې نښلي که نه۔ هغه اړیکه چې په دولسو ثانیو کې بریالۍ شي هماغه بنسټیز لامل لري چې په پنځلسو کې ناکامېږي۔

غوره توب ولیکئ تر څو بیا جوړول یې نه شي لغوه کولای

پارامېټر فایل د ترتیباتو مدیریت لاندې وساتئ او څنګ ته یې اندازه، لامل او نېټه ولیکئ۔ هغه بیا جوړ شوی سرور چې په خاموشۍ خپل تلوالې جوړوي هماغه لاره ده چې هماغه غلطي شپږ میاشتې وروسته بېرته راځي او هېڅوک نشي کولای اصلي پرېکړه تشریح کړي۔

هماغه معلومات د پای نقطې او پروفایل ترڅنګ ولیکئ، تر څو بیاکتنه یې له فایل اندازې څخه بیا جوړولو ته اړ نه شي۔ کله چې بله اړیکه ځنډېده، هغه یادښت د پنځو دقیقو چک او نوي څېړنې ترمنځ توپیر دی۔ همدا د بل انجنیر له دې هم منع کوي چې ورو حالت د چټک لپاره جوړ شوي سمون سره حل کړي۔