OpenVPN greška HMAC autentifikacije paketa: koji sloj?

Dva se kvara prijavljuju istim rječnikom i gotovo da nemaju ništa zajedničko. Jedan je paket čija oznaka autentifikacije nije provjerena; drugi je osoba čiji su akreditivi odbijeni. Ako prvi tretirate kao drugi, tražit ćete lozinku koja nikada nije bila problem.

Poruka imenuje sloj, a koristan posao je odlučiti koji sloj prije nego zamijenite bilo koji materijal. Upoređivanje kandidata jedan uz drugi najbrži je način da vidite razliku.

Dva kvara koja dijele jednu riječ

Greška autentifikacije paketa javlja se tokom obrade saobraćaja: oznaka ili sažetak na primljenom paketu nije se poklopio s onim što je primalac izračunao. Odbijanje računa događa se nakon što se raščlani razmjena prijave i imenuje korisnika, a ne paket. Treća poruka, o nemogućnosti pronalaska HMAC-a u dolaznom paketu, opet je drugačija, jer je tamo paket stigao potpuno bez očekivanog elementa autentifikacije. Pun prefiks zapisa kaže koji od tri imate, a upravo se prefiks obično prvi ukloni kada se greška zalijepi u tiket.

Razlika mijenja popravku. Jedna traži usklađene postavke kanala, druga stanje računa, a treća profil koji ne odgovara slušaču do kojeg je stigao.

Uporedite šta je pokrenuti proces zaista učitao

Ispravna datoteka na disku ne dokazuje ništa o procesu koji je počeo prije nego što je uređena. Provjerite odabrani profil, krajnju tačku s kojom je kontaktirao i je li usluga ponovo učitana nakon promjene. Potvrdite i da krajnja tačka pripada profilu, jer druga instanca ili druga usluga može slušati tamo gdje stara datoteka očekuje nešto drugo.

Ponovni izvoz podržanog profila iz istog izvora jeftino je poređenje, jer uklanja razliku između onoga što mislite da je konfigurisano i onoga što klijent zaista šalje. Generisanje novog ključnog materijala mnogo je veći korak i pomaže samo ako ga obje strane usvoje zajedno. Lokalna zamjena jedne strane ponovo stvara nepodudaranje koje ste pokušavali ukloniti.

Uporedite kontrolni kanal s podatkovnim kanalom

Dva mehanizma autentificiraju različite dijelove veze i konfiguriraju se odvojeno, kao što pregled opcija 2.6 opisuje. tls-auth dodaje HMAC kontrolnim paketima i prima argument smjera koji na dva partnera mora biti suprotan, dok tls-crypt kontrolni kanal umjesto toga štiti zajedničkim ključem. Nijedan nije vlastita provjera integriteta podatkovnog kanala. Kod AEAD šifre podataka ta je provjera ugrađena u šifru, pa se odvojeni auth sažetak ne koristi onako kako se koristi kod šifre koja nije AEAD.

Što znači da auth redak kopiran iz radnog ne-AEAD postavljanja može biti nevažan u AEAD postavljanju, a AEAD postavljanje i dalje može pasti na kontrolnom kanalu ako tls-auth je ključ ili njegov smjer pogrešan. Uporedite svaku postavku s partnerom, a ne sa zapamćenom konfiguracijom.

Uporedite popravku sa svojstvom kojeg se odričete

Isključivanje autentifikacije paketa utišava upozorenje i uklanja provjeru koja je pronašla nepodudaranje, što nije isto kao popravka profila. Pitajte kojeg se svojstva odričete i drži li dizajn bez njega.

Pročitajte prvi relevantni događaj na oba kraja prije nego što bilo šta promijenite, pa promijenite samo nepodudaranje koje imenuje.

Ako sljedeći pokušaj napreduje do greške certifikata ili prijave, to je napredak, a ne regresija: sloj paketa se sada slaže i veza je otišla dalje. Zapišite postavke koje su izazvale promjenu, da sljedeća osoba naslijedi objašnjenje umjesto zagonetke.