Kako OpenVPN data-ciphers bira šifru podatkovnog kanala

Tunel se podiže, log prikazuje šifru i pregled profila ide dalje. Zatim stigne nadogradnja na jednoj strani i isti profil pada uz poruku da nema zajedničke šifre, što ljude šalje u lov na direktivu koju treba obrisati. Korisno je razumeti da data-ciphers opisuje pregovaranje, a ne postavku. Jedna strana nudi listu, druga bira iz nje, a rezultat je jedan algoritam koji obe podržavaju. Čitanje te razmene objašnjava većinu ovih kvarova pre nego što promenite i jednu liniju.

Dva kanala, dve konfiguracije

Jedna OpenVPN sesija ima kontrolni kanal i podatkovni kanal. Kontrolni kanal vodi TLS rukovanje koje autentifikuje partnere i dogovara ključeve. Podatkovni kanal šifruje pakete koji nose vaš saobraćaj.

data-ciphers konfiguriše drugi. Kontrolni kanal ima sopstvene opcije, a provere identiteta profila su treća, odvojena stvar. Promena na jednom ne popravlja drugo, zbog čega profil može izgledati ispravno i ipak pasti u određenoj fazi.

Držite ta tri u odvojenim kutijama kad čitate konfiguracionu datoteku.

Pročitajte pregovaranje iz loga

Klijentski log navodi oba rezultata kad veza uspe. Jedan redak izveštava o kontrolnom kanalu i njegovim TLS detaljima, a drugi o izabranoj šifri podatkovnog kanala.

Pročitajte oba, jer odgovaraju na različita pitanja. Neuspeh kontrolnog kanala zaustavlja vezu pre nego što ijedna podatkovna šifra postane važna. Nesklad podatkovnog kanala pojavljuje se posle uspešnog rukovanja, uz poruku da nema zajedničke šifre.

Zatim uporedite ponuđene liste na obe strane. Ime koje verzija jednog partnera ili njegov kripto sloj ne pruža ne može se izabrati, bez obzira na to koliko se rano pojavljuje na listi drugog partnera.

Kako izbor zapravo funkcioniše

Server gura svoju data-ciphers listu klijentu tokom rukovanja, a klijent bira prvi unos na toj listi koji i sam podržava. Redosled stoga pripada konfiguraciji servera, a ne klijenta.

Taj detalj objašnjava klasu zbunjujućih rezultata. Promena redosleda klijentske liste ne menja ništa dok odlučuje serverska lista. Dodavanje šifre koju klijent ne može da pruži takođe ne menja ništa, jer klijent mora moći da koristi unos koji izabere.

Novija izdanja promenila su podrazumevanu listu i preimenovala opciju koja ju je držala, pa se dva partnera na različitim verzijama mogu ne slagati bez da iko uređuje profil. Proverite verziju na svakoj strani pre nego što pretpostavite štamparsku grešku.

Lista nije rangiranje snage u apstraktnom smislu. To je skup kandidata, a izabrani je prvi uzajamno podržani unos u redosledu servera. Zato dve liste koje izgledaju različito mogu dogovoriti istu šifru. Zato i dve liste koje izgledaju identično mogu pasti.

Stariji partneri trebaju namernu rezervnu opciju

Partner koji uopšte ne može da pregovara, jer je stariji od mehanizma ili ga je isključio, treba dokumentovan aranžman kompatibilnosti. Rezervna opcija postoji upravo za taj slučaj i primenjuje se na partnere koji ne učestvuju u pregovaranju.

To nije isto kao omogućavanje svake nasleđene šifre da bi poruka nestala. Široka lista slabi sesiju za svakog partnera, uključujući one koji bi dogovorili nešto jako.

Uskladite dve strane umesto da uređujete nepovezana imena algoritama. Ako je nadogradnja servera uklonila staru opciju, popravka pripada planu verzija, a ne užurbanoj akciji na klijentu.

Sačuvajte proveru netaknutom

Nesklad podatkovnog kanala nije razlog da prihvatite neprovereni server. Provera sertifikata, očekivano ime servera i postavke zaštite kontrolnog kanala odvojeni su od izbora šifre i trebalo bi da prežive svaku promenu kompatibilnosti.

Zabeležite dogovorenu podatkovnu šifru, verziju klijenta i verziju servera zajedno, da sledeće poređenje počne od činjenica, a ne od datoteke profila.

Posle podržane popravke isprobajte početnu vezu i ponovno pregovaranje, jer sesija koja se jednom uspostavi ipak može pasti kad se ključevi obnove.

Ako se tunel uspostavi, a sajtovi i dalje ne rade, šifra više nije osumnjičena. Nastavite sa rutiranjem i DNS-om. Redosled rada: pročitajte oba retka loga, uporedite obe liste, proverite verzije, dodajte rezervnu opciju samo partneru koji je treba, pa ponovo testirajte put obnove.