DH ගොනුවක් ද tls-auth යතුරක් ද? OpenVPN ගොනු දෙක වෙන් කර හඳුනා ගැනීම

ගොනු දෙකක්, උපදෙස් දෙකක්, සහ ඒවා වින්‍යාස කරන දෙයේ නමින් දෙකටම නම් තැබීමේ පුරුද්ද. එසේ dh.pem tls-auth පේළියකට වැටෙන අතර පාරිභෝගිකයා අනපේක්ෂිත යතුරු ආකෘතියක් පිළිබඳ පණිවිඩයක් සමඟ අසාර්ථක වේ. ඔබ ඉදිරියේ ඇති තීරණය කුමන ගොනුව වඩාත් ශක්තිමත් ද යන්න නොවේ. වින්‍යාසයට ඇත්තෙන්ම අවශ්‍ය කුමන භූමිකාව ද යන්නයි, කොන්දේසි තුනක් එය තීරණය කරයි: ඔබේ TLS තැටිය කුමන යතුරු හුවමාරුවක් සාකච්ඡා කරයි ද, පාලන නාලිකා සත්‍යාපනය ඔබට අවශ්‍ය ද, සහ ද්‍රව්‍යය රහසිගතව තිබිය යුතු ද.

ඒවාට පිළිවෙළින් පිළිතුරු දෙන්න, ගොනු ප්‍රශ්නය තමන්ම පිළිතුරු දෙනු ඇත. ඒවා මඟ හැරියොත් උපදෙස් නාම එකිනෙකට මාරු කළ හැකි ලෙස පෙනෙන්නට පටන් ගනී, වැරැද්ද එන්නේ එම තත්ත්වයෙනි.

ගොනු නාමයට පෙර ලේබලය කියවන්න

ගොනුවේ පළමු පේළිය එහි නමට වඩා තොරතුරු ලබා දෙයි, මන්ද නාමය මානව සම්ප්‍රදායක් වන අතර ලේබලය මෙවලම විසින් නිපදවයි. Diffie-Hellman පරාමිතීන් BEGIN DH PARAMETERS යන PEM ලේබලය දරයි. OpenVPN ස්ථිතික යතුර සම්පූර්ණයෙන්ම වෙනස් ව්‍යුහයකි, එහිම ශීර්ෂකය සහ ෂඩ්දශක භාරය ඇත.

නම වෙනස් කිරීමෙන් කිසිවක් පරිවර්තනය නොවේ. ta.key නමැති පරාමිති ගොනුව තවමත් පරාමිතීන් ය, dh.pem නමැති ස්ථිතික යතුර තවමත් ස්ථිතික යතුරකි; විග්‍රාහකය අන්තර්ගතය කියවා නොගැළපීම ප්‍රතික්ෂේප කරයි. පැතිකඩ සංස්කරණයට පෙර පරීක්ෂා කරන්න:

head -n 1 dh.pem
head -n 1 ta.key

කුමන ගොනුව අවශ්‍ය ද යන්න තීරණය කරන කොන්දේසි තුන

පළමු කොන්දේසිය හුවමාරුවයි. පරිමිත ක්ෂේත්‍රයේ Diffie-Hellman අතට අත දීමට සමූහයක් අවශ්‍ය වන අතර dh උපදෙස යනු සේවාදායකයා ඒ සඳහා පරාමිතීන් නම් කරන තැනයි. ඉලිප්සාකාර වක්‍රයේ අතට අත දීමට එම ගොනුව කිසිසේත් අවශ්‍ය නොවේ, මන්ද වක්‍රයම පරාමිති කුලකයයි. ඔබේ සේවාදායකයා ECDHE කට්ටල පමණක් සාකච්ඡා කරන්නේ නම්, DH ගොනුව අමතර ශක්තියක් නොව මළ බරකි.

දෙවන කොන්දේසිය පාලන නාලිකා සත්‍යාපනයයි, එයටම අයත් ද්‍රව්‍ය සහිත වෙනම විශේෂාංගයකි. tls-auth ගොනුව දෙපාර්ශ්වයම රඳවා ගන්නා සම්බන්ධක ස්ථිතික යතුරක් වන අතර, පාලන නාලිකා පැකට් අත්සන් කිරීමට භාවිත වේ, එවිට සත්‍යාපනය නොකළ පාර්ශ්වයට අතට අත දීමවත් සම්පූර්ණ කළ නොහැක. ඔබ පරිමිත ක්ෂේත්‍රයේ DH භාවිත කළත් නොකළත් එය පවතී, සමූහ පරාමිතීන් සමඟ එයට කිසිදු සම්බන්ධයක් නැත.

තුන්වන කොන්දේසිය රහස්‍යභාවය සහ බෙදාහැරීමයි. DH පරාමිතීන් සැසිය දුර්වල නොකර ප්‍රකාශ කළ හැක, මන්ද රහස් අගයන් සෑම අතට අත දීමකටම ජනනය වන අතර පාර්ශ්වයන් කිසිදා නොයයි. ස්ථිතික යතුර ප්‍රකාශ නොකළ යුතුය: එය දෙකෙළවරේම එකම බයිට වේ, තමන්ම කැරකෙන්නේ නැත, එය ඇති ඕනෑම අයෙකුට වලංගු පාලන නාලිකා අත්සන් නිපදවිය හැක. එම පිළිතුරු දෙක සම්පූර්ණයෙන්ම වෙනස් හැසිරවීම් නීති කරා යොමු කරයි, එබැවින් එක් ගොනුවක් ගබඩාවක තිබිය හැකි අතර අනෙක තිබිය නොහැක.

සෑම භූමිකාවකටම නිවැරදි ද්‍රව්‍යය ජනනය කරන්න

උපදෙස බලාපොරොත්තු වන ආකෘතිය නිපදවන මෙවලම භාවිත කරන්න, ඒවා අතර පරිවර්තනය කිරීම වෙනුවට. OpenVPN 2.6 හි සම්බන්ධක යතුර සඳහා ජනකයේ ටයිප් කළ ආකෘතිය අරමුණ පැහැදිලිව පවසයි.

openvpn --genkey tls-auth ta.key

එම විධානය නව රහස් ද්‍රව්‍යයක් සාදයි; එය පවතින යතුරක් අලුත්වැඩියා නොකරයි, පරීක්ෂා නොකරයි, නැවත ධාවනය කිරීමෙන් අනෙක් පාර්ශ්වයන්ට නොමැති වෙනස් යතුරක් ලැබේ. ලැබෙන ගොනුව අවශ්‍ය පාර්ශ්වයන්ට ඕනෑම සම්බන්ධක රහසකට භාවිත කරන මාර්ගයකින් පිටපත් කරන්න, දිශා සම්ප්‍රදාය ස්ථාවරව තබන්න: tls-auth සමඟ එක් පැත්තක් key-direction 0 ද අනෙක key-direction 1 ද භාවිත කරයි.

DH පරාමිතීන් අවශ්‍ය විට පරාමිති ජනනයෙන් පැමිණේ, යතුරු ජනකයෙන් නොවේ, ප්‍රතිඵලය පොදු වුවත් ඒවායේ මූලාශ්‍රය වැදගත් වේ. නොදන්නා මූලාශ්‍රයකින් ගත් සමූහයක් පොදු වීම නිසා විශ්වාසනීය නොවේ; එය තවමත් ඔබේ පාර්ශ්වයන් එකඟ වන සමූහයක් විය යුතු අතර එහි ප්‍රමාණය හෝ ගොඩනැගීම දුර්වල නොකළ එකක් විය යුතුය.

dh none යනු කුමක් ද, කුමක් නොවේ ද

dh none පටු අර්ථයක් ඇති සැබෑ උපදෙසකි: පරිමිත ක්ෂේත්‍ර පරාමිති ගොනුවක් පූරණය නොවේ, මන්ද අතට අත දීම ඉලිප්සාකාර වක්‍ර Diffie-Hellman භාවිත කරයි. එය යමක් දුර්වල කිරීමේ අර්ථයෙන් “DH පියවර මඟ හරින්න” යන කෙටි යෙදුම නොවේ, OpenVPN වෙත වෙනත් ගොනුවක් ආදේශකයක් ලෙස පිළිගන්නා ලෙස එය නිසැකවම නොකියයි.

වැරදි ලෙස කියවීමෙන් වැරදි දෙකක් එයි. පළමුවැන්න dh none tls-auth හි අවශ්‍යතාව ඉවත් කරයි යැයි සිතීමයි, එහෙත් දෙකම පාලනය කරන්නේ වෙනස් දේවල් ය. දෙවැන්න වක්‍රය පමණක් ඇති වින්‍යාසය අසල පැරණි dh පේළියක් තබාගෙන පසුව සේවාදායකයා ඇත්තෙන්ම කුමන ගොනුව භාවිත කරයි ද යන්න සිතීමයි; උපදෙස තිබේ නම් ගොනුව කියවයි, එහි කැඩුණු මාර්ගයක් සාකච්ඡා වන හුවමාරුවට සම්බන්ධ නැති හේතුවකින් ආරම්භය අසාර්ථක කරයි.

වැරදි ගොනුව දැනටමත් වින්‍යාස කර ඇත්නම්

පැතිකඩ හිමිකරුගෙන් අපේක්ෂිත රහස නැවත ලබා ගන්න, එසේ කරන අතරතුර සහතික සත්‍යාපනයට අත නොතබන්න. අසාර්ථකත්වය ආකෘති නොගැළපීමකි, විශ්වාස අසාර්ථකත්වයක් නොවේ, දෝෂය මඟ හැරීමට සත්‍යාපනය අක්‍රීය කිරීම ආරම්භක ගැටලුවක් නිහඬ ගැටලුවකින් ප්‍රතිස්ථාපනය කරයි.

පසුව මිනිසුන් එකට එකතු කිරීමට නැඹුරු වන සිදුවීම් දෙක වෙන් කරන්න. DH පරාමිති ගොනුවක් ප්‍රකාශ කිරීම පාහේ හානිරහිතයි, මන්ද පරාමිතීන් නිර්මාණයෙන්ම පොදු විය. tls-auth යතුර හෙළිදරව් කිරීම වෙනත් සිදුවීමකි: යතුර එය රඳවා ගන්නා සෑම පාර්ශ්වයකටම පාලන නාලිකා පැකට් සත්‍යාපනය කරයි, එබැවින් ප්‍රතිස්ථාපනය එක් සත්කාරකයකට නොව මුළු වින්‍යාසය පුරා සම්බන්ධීකරණය කළ යුතුය.

මිනිත්තු පහක පරීක්ෂාවක් ඔබ කුමන අවස්ථාවේ ද යන්න තීරණය කරයි: සෑම ගොනුවකම පළමු පේළිය කියවන්න, එය යොමු කරන උපදෙස තහවුරු කරන්න, ගොනුවේ බෙදාහැරීම ද්‍රව්‍යයේ අවශ්‍යතාවට ගැළපෙන බව තහවුරු කරන්න. මෙය ක්‍රියාකාරී PKI නැවත නිර්මාණය කිරීමට වඩා කුඩා කාර්යයකි, කොන්දේසි තුන මුළු වේලාවම යොමු කළේ ඒ වෙතයි.