auth ډایجسټ د OpenVPN کوم پیکټونه ساتي؟
د auth اختیار د هغې له اندازې کم پوښي چې پروفایل یې وړاندیز کوي۔ د ډایجسټ تګلاره ټاکلو دمخه چینل، د AEAD حالت او د کنټرول چینل ساتنه وګورئ۔
د OpenVPN ډایجسټونو په اړه ډېرې بحثونه د غلط پیکټ څخه پیل کیږي۔ auth SHA256 لوستل چې «یوازې هغه همکاران ومنه چې SHA256 وړاندې کوي» لومړنی شی دی چې باید هېر شي۔ اختیار د ځانګړو پیکټونو لپاره یو ډایجسټ نوموي، او چې هغه پیکټونه کوم دي د چینل او د دې پورې اړه لري چې ایا هغه چینل AEAD دی۔ لاندې څلور پوښتنې په ترتیب سره وګورئ؛ هر یو یې روښانه کوي چې دا تنظیم ستاسو په ځایپرځای کې څه معنا لرلی شي۔
هغه چینل ونوموئ چې تنظیم یې باید وساتي
OpenVPN یو کنټرول چینل لري چې د TLS لاس نیولو ټرافیک وړي او یو ډاټا چینل چې د تونل پیلوډ وړي۔ auth ډایجسټ په دواړو کې رول لري، خو یو شان نه، او پروفایل توپیر لږ ځله ښکاره کوي۔ د کانفګ فایل لمسولو دمخه ولیکئ چې تاسو د دواړو کوم یو محدودول غواړئ۔
لاندې جدول هغه لنډه بڼه ده چې څنګه هماغه اختیار په هر شرایطو کې ځای پرځای کیږي۔
| Context | What the auth digest does |
|---|---|
| Data channel without AEAD | Selects the HMAC digest that authenticates each data packet |
| Data channel with AEAD, such as GCM | Unused for the data channel; the cipher authenticates its own packets |
| Control channel protected by tls-auth | Selects the HMAC digest for that protection, even when data is AEAD |
پرته له دې چې پرې تکیه وکړئ، وګورئ چې ډاټا چینل AEAD دی که نه
که چېرې هوکړه شوی ډاټا سایفر AES-GCM یا CHACHA20-POLY1305 وي، نو ډاټا چینل پخپله خپل اعتبار تاییدوي او جلا ډایجسټ هغه کار نه کوي چې تاسو یې شاید فکر کوئ۔ دواړه AEAD جوړښتونه دي، نو بشپړتیا د هماغه عملیاتو له مخې پیدا کیږي چې پیلوډ انکرپټ کوي۔ دا د کچې کمښت نه دی، خو معنا یې دا ده چې «هر ډاټا پیکټ HMAC-SHA256 دی» په توګه توجیه شوې تګلاره په هغه تونل کې په حقیقت کې غلطه ده۔ د تګلارې د بیا لیکلو دمخه په سرور لاګ یا د کلاینټ حالت په وتلو کې هوکړه شوې ارزښت تایید کړئ۔
د پروفایل په لیست پسې، هغه سایفر وګورئ چې واقعاً پرې هوکړه شوې، ځکه چې خبرې اترې کېدای شي د ټولګې بل غړي ته ورسیږي۔ data-ciphers AES-256-GCM:AES-128-GCM یو د خبرو اترو لیست دی، او دواړه ننوتونه AEAD دي، نو هیڅ یو یې د پیلوډ ساتنې لپاره auth ډایجسټ نه کاروي۔
د کنټرول چینل ساتنه خپله جلا پریکړه وګڼئ
tls-auth د کنټرول چینل پیکټونو ته HMAC ورزیاتوي او خپل ډایجسټ د auth تنظیم څخه اخلي، له همدې کبله یو AEAD تونل لا هم کولی شي معنامنډ ډایجسټ ولري۔ tls-crypt بېل ترتیب دی چې خپله ثابته ساتنه لري، نو مه فکر کوئ چې دا د tls-auth هر ځانګړنه په میراث اخلي۔ د هغه میکانېزم مستندات ولولئ چې تاسو ټاکلی، پرځای د دې چې انګېرنې د دوی ترمنځ انتقال کړئ۔
دواړه همکاران باید د ترتیب او د کیلي پر لوري هم موافق شي۔ سره سمون لرونکی ډایجسټ خو د کیلي فایل چې په غلط لوري کارول شوی، داسې لاس نیول جوړوي چې د هغو دلیلونو له امله ناکام کیږي چې د ډایجسټ تنظیم یې تشریح کولی نه شي۔
auth د سایفر خبرو اترو او سندونو څخه جلا وساتئ
درې تنظیمات تل سره ګډیږي: auth ډایجسټ، د ډاټا سایفرونو لیست او د سند د لاسلیک الګوریتم۔ د لومړي بدلول سند بیا نه صادریږي، د هغه لاسلیک ډایجسټ نه ټاکل کیږي، او د کاروونکي-پاسورډ طریقه نه جوړیږي۔ د پروتوکول اختیارونو تعریفونه په OpenVPN 2.6 سرچینو کې هر یو په خپله برخه کې بیانوي، چې دا ګټوره یادونه ده چې دا خپلواک تڼۍ دي۔
کله چې همکار د ډایجسټ له بدلون وروسته له نښلولو انکار وکړي، لامل معمولاً په نورو دوو تنظیماتو کې یو کې ناسمونلی دی۔ د هر یو د بدلولو دمخه دواړه سرونه ولولئ۔
تګلاره ولیکئ او د روانو کانفګونو سره یې پرتله کړئ
د بیړنې کچې بیان باید په هماغه جمله کې د اجازه شوو ډاټا چینل حالتونو او ټاکل شوې کنټرول چینل ساتنې په روښانه توګه نوم واخلي۔ هغه جمله د ازموینې وړ ده؛ «موږ SHA256 کاروو» نه ده۔ بیا یې د ذخیرې په کېنډۍ پسې نه، بلکې د اغېزمن سرور او کلاینټ پروفایلونو سره پرتله کړئ۔
په دې پای کې ولیکئ چې هر تونل واقعاً پر څه هوکړه وکړه او کوم میکانېزم د هغه پیکټونه تایید کړل۔ په پروفایل کې لیدل کیدونکې auth کرښه یوازې د کانفګ ارادې ثبوت دی، او اراده د تفتیش ترټولو ارزانه برخه ده۔