Ошибка аутентификации HMAC пакета OpenVPN: какой уровень?

Две ошибки сообщаются с одной и той же лексикой и почти не имеют общего. Одна — пакет, метка аутентификации которого не прошла проверку; другая — человек, чьи учётные данные были отклонены. Если считать первую второй, вы отправитесь искать пароль, который никогда не был проблемой.

Сообщение называет уровень, и полезная работа — решить какой, прежде чем заменять какой-либо материал. Сравнение кандидатов рядом — самый быстрый способ увидеть разницу.

Две ошибки, которые делят одно слово

Ошибка аутентификации пакета возникает при обработке трафика: метка или дайджест на принятом пакете не совпали с тем, что вычислил получатель. Отказ учётной записи происходит после разбора обмена входа и называет пользователя, а не пакет. Третье сообщение — о невозможности найти HMAC во входящем пакете — снова другое, потому что там пакет пришёл вообще без ожидаемого элемента аутентификации. Полный префикс журнала говорит, какой из трёх у вас, и именно префикс обычно убирают первым, когда ошибку вставляют в тикет.

Различие меняет ремонт. Один требует совпадающих настроек канала, другой состояния учётной записи, третий профиля, который не соответствует достигнутому слушателю.

Сравните, что на самом деле загрузил работающий процесс

Правильный файл на диске ничего не доказывает о процессе, запущенном до его правки. Проверьте выбранный профиль, конечную точку, с которой он связался, и перезагружалась ли служба после изменения. Убедитесь также, что конечная точка принадлежит профилю, ведь другой экземпляр или другая служба может слушать там, где старый файл ожидает другого.

Повторный экспорт поддерживаемого профиля из того же источника — дешёвое сравнение, потому что убирает расхождение между тем, что вы считаете настроенным, и тем, что клиент действительно отправляет. Генерация нового ключевого материала — гораздо больший шаг, и она помогает только если обе стороны примут его вместе. Замена одной стороны локально заново создаёт то несоответствие, которое вы пытались убрать.

Сравните управляющий канал с информационным

Два механизма аутентифицируют разные части соединения и настраиваются отдельно, как справочник опций 2.6 описывает. tls-auth добавляет HMAC к пакетам управляющего канала и принимает аргумент направления, который у двух партнёров должен быть противоположным, тогда как tls-crypt вместо этого защищает управляющий канал общим ключом. Ни один не является собственной проверкой целостности информационного канала. При AEAD-шифре данных эта проверка встроена в шифр, поэтому отдельный auth дайджест не используется так, как при шифре, не являющемся AEAD.

Что означает, что auth строка, скопированная из работающего развёртывания без AEAD, может быть неважной в развёртывании с AEAD, и развёртывание с AEAD всё ещё может сбоить на управляющем канале, если tls-auth ключ или его направление неверны. Сравнивайте каждую настройку с партнёром, а не с запомненной конфигурацией.

Сравните исправление со свойством, от которого вы отказываетесь

Отключение аутентификации пакетов заглушает предупреждение и убирает проверку, нашедшую несоответствие, что не то же самое, что починить профиль. Спросите, от какого свойства вы отказываетесь и держится ли замысел без него.

Прочитайте первое значимое событие на обоих концах, прежде чем что-то менять, затем измените только то несоответствие, которое оно называет.

Если следующая попытка доходит до ошибки сертификата или входа, это прогресс, а не регресс: уровень пакетов теперь согласован, и соединение продвинулось. Запишите настройки, вызвавшие изменение, чтобы следующий человек унаследовал объяснение, а не загадку.