OpenVPN tls-ciphersuites එදිරිව tls-version-min: එකින් එක බලාත්මක කරන්නේ කුමක්ද
TLS 1.3 කට්ටල ලැයිස්තුවක් ප්‍රොටොකෝල සංස්කරණය සීමා නොකරයි, show-tls දේශීය සහාය පමණක් පෙන්වයි. ප්‍රතිපත්තිය, කට්ටල සහ සාකච්ඡා කළ ප්‍රතිඵල වෙන වෙනම පරීක්ෂා කරන්න.
බොහෝ OpenVPN TLS සාකච්ඡාවලදී වෙනස් කරුණු තුනක් එක පේළියකට එකතු කෙරේ: ඔබේ සේවාදායක ගොඩනැගීමට කළ හැකි දේ, පැතිකඩ අනුමත කරන දේ සහ සැසිය ඇත්තටම සාකච්ඡා කළ දේ. කෙටි TLS 1.3 කට්ටල ලැයිස්තුවක් මැද ප්‍රශ්නයට අඩකින් පමණක් පිළිතුරු දෙන අතර, ප්‍රොටොකෝල සංස්කරණයේ පහළ සීමාව ගැන කිසිවක් නොකියයි. පහත පරීක්ෂණ ක්‍රමවත්ව කරන්න, පළමුව අසාර්ථක වන තැන නවතින්න, මන්ද සෑම ඊළඟ පරීක්ෂණයක්ම පෙර ඒවා විසඳා ඇතැයි උපකල්පනය කරයි.
කිසිදු ලැයිස්තුවක් කියවීමට පෙර ගොඩනැගීම පරීක්ෂා කරන්න
වින්‍යාස උපදෙසකට ප්‍රොටොකෝල සහාය නොමැති ද්විමය ගොනුවකට එය එකතු කළ නොහැක. සංස්කරණ බැනරයෙන් ආරම්භ කරන්න, එය සම්පාදිත ගුප්තකේතන පුස්තකාලය නම් කරයි:
openvpn --versionOpenSSL සමඟ සම්බන්ධිත 2.6 ගොඩනැගීම tls-cipher සහ tls-ciphersuites දෙකම පිළිගනී. mbed TLS සමඟ ගොඩනැගීමට TLS 1.3 කට්ටල තේරීමක් කිසිසේත් නැත, සහ 2.6 අත්පොත tls-ciphersuites OpenSSL විකල්පයක් ලෙස සලකුණු කරයි. සේවාදායකය වෙනත් බැක්එන්ඩ් එකකින් නැවත ගොඩනඟන්නේ නම්, එම පැතිකඩම වින්‍යාසයේ එක පේළියක්වත් නොවෙනස්ව හැසිරීම වෙනස් කළ හැක.
ඔබ මෙහි සිටියදී openvpn --show-tls ධාවනය කර ප්‍රතිදානය තබා ගන්න. එය පසුව සංසන්දනය කරන ලැයිස්තුවයි, සහ කිසිවෙකු පැතිකඩ සංස්කරණය කිරීමට පෙර එය අල්ලා ගැනීම ලාභදායකය.
බැනරය සහ ලැයිස්තුව චැට් කවුළුවේ නොව, වෙනස්කම් ටිකට්පතේ ලියන්න. සති හයකින් සේවාදායකයකට කට්ටලයක් පිරිනැමිය හැකිද යන්න ගැන දෙදෙනෙකු තර්ක කරන විට, අල්ලා ගත් ප්‍රතිදානය එය එක පේළියකින් තීරණය කරයි.
සංස්කරණ සීමා ගුප්තකේතන ලැයිස්තුවලින් වෙන් කර තබන්න
2.6 අත්පොතේ මේවා එකක් නොව, පාලන තුනකි:
tls-cipherTLS 1.2 සහ ඊට පෙර සඳහා ගුප්තකේතන ප්‍රතිපත්තිය නියම කරන අතර OpenSSL හි ගුප්තකේතන ලැයිස්තුවට භාර දෙයි;tls-ciphersuitesTLS 1.3 කට්ටල තෝරයි;tls-version-minසහtls-version-maxසම්බන්ධතාවයට භාවිත කළ හැකි ප්‍රොටොකෝල සංස්කරණ සීමා කරයි.
එබැවින් හොඳින් කපන ලද TLS 1.3 කට්ටල ලැයිස්තුවක් පැරණි සංස්කරණයක් තවමත් අවසර ඇති බව කිසිවක් ඔප්පු නොකරයි. අවශ්‍යතාව «TLS 1.3 පමණි» නම්, එය දරන්නේ සංස්කරණයේ පහළ සීමාවයි, සහ කට්ටල ලැයිස්තුව එම සීමාව තුළ විකල්ප පමණක් පටු කරයි:
tls-version-min 1.3
tls-ciphersuites TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256මෙම යුගලය කාර්යයන් දෙකක් කරයි. එක් පේළියක් මකා දැමීමෙන් අනෙක ඔබ සිතනවාට වඩා අඩුවෙන් බලාත්මක කරයි, සහ මෙම මුළු පරීක්ෂණයම එම අසාර්ථකත්වය අල්ලා ගැනීමට ඇත.
දත්ත නාලිකාව සිව්වන පාලනයයි. data-ciphers උමග තුළ සමමිතික ගුප්තකේතනය සාකච්ඡා කරයි, සහ එහි ප්‍රතිඵලය පාලන නාලිකාවේ TLS සංස්කරණය ගැන කිසිවක් නොකියයි. සැසි සාරාංශයේ AES-256-GCM දැකීම කිසිදු දිශාවකට TLS 1.3 සඳහා සාක්ෂියක් නොවේ.
show-tls දේශීය ලැයිස්තුවක් ලෙස කියවන්න
--show-tls මෙම ද්විමය ගොනුව සම්බන්ධිත ගුප්තකේතන පුස්තකාලය සහාය දක්වන කට්ටල, මනාප අනුපිළිවෙලින් ලැයිස්තුගත කරයි. එය ද්වාරයෙන් ලැබුණු වාර්තාවක් නොවේ. ලැයිස්තුව දේශීය පුස්තකාලයෙන් පැමිණෙන බව අත්පොත පැහැදිලිව පවසයි, එනම් OpenSSL 3.x සහිත ලැප්ටොප් පරිගණකයක් සහ පැරණි ගොඩනැගීමක් සහිත රවුටරයක් එකම සේවාදායකය සමඟ කතා කරන විට වෙනස් ලැයිස්තු මුද්‍රණය කරනු ඇත.
| Evidence | What it actually describes |
|---|---|
--show-tls output | Capabilities of this client build and its library |
| Profile directives | What this attempt is allowed to offer |
| Session log line | What this one negotiation selected |
සේවාදායකය A, B සහ C කට්ටල සහාය දක්වන අතර එක් සැසියක් B තෝරන බව උපකල්පනය කරන්න. එය සේවාදායකය A හෝ C අවසර දෙන්නේද, නැතහොත් B එහි එකම අවසර ලත් තේරීමද යන්න කිසිවක් තහවුරු නොකරයි. පේළි තුන වෙන් කර තබන්න, ව්‍යාකූල TLS සාකච්ඡා බොහොමයක් ඉබේම විසඳෙනු ඇත.
ලැයිස්තුව තබා ගැනීම තවමත් වටී. සැසියක් අසාර්ථක වන විට, පුස්තකාල ලැයිස්තුව පැතිකඩ ලැයිස්තුව සමඟ සංසන්දනය කිරීමෙන් සේවාදායකයට අවශ්‍ය දේ පිරිනැමීමට සේවාදායකයට කිසිදු අවස්ථාවක් තිබුණේද යන්න කියයි. බැක්එන්ඩ් වෙනසක් පැරණි සේවාදායකයන් රඳා පවතින තොගයෙන් TLS_CHACHA20_POLY1305_SHA256 නිහඬව ඉවත් කළේද යන්නද එය පෙන්වයි — අනෙක් සියල්ලන්ට කිසිවක් නොපෙනෙන අතරේ ග්‍රාහකයන් කිහිප දෙනෙකුට සම්බන්ධ විය නොහැකි ලෙස පෙනෙන එවැනි පසුබැසීම් වර්ගයකි.
ද්වාරයට එය පිළිතුරු දිය හැකි දෙයක් අසන්න
ඔබ සේවාව පරිපාලනය කරන්නේ නම්, තැටියේ ඇති ගොනුවක් නොව, ධාවනය වන අවස්ථාවේ ඵලදායී වින්‍යාසය පරීක්ෂා කරන්න. OpenVPN වෙනත් --config මාර්ගයකින් ආරම්භ වී තිබිය හැක, ඇතුළත් කිරීම් ඇද ගනී, හෝ සංස්කරණයෙන් පසු නැවත ආරම්භ නොකර තිබිය හැක. සේවාදායකයන්ට හමුවන්නේ ධාවනය වන ඩීමන්ගේ ප්‍රතිපත්තියයි.
ඔබ එය පරිපාලනය නොකරන්නේ නම්, ක්‍රියාකරුගෙන් සහාය දක්වන සේවාදායක අවශ්‍යතා හෝ සීමිත පිළිගැනීම් පරීක්ෂණයක් ඉල්ලන්න. ප්‍රතික්ෂේප වූ උත්සාහයක් ස්වයංක්‍රීයව ප්‍රතික්ෂේප වූ කට්ටලයක් නොවේ: සංස්කරණයේ පහළ සීමාව, remote-cert-tls වැනි සහතික අනන්‍යතා පරීක්ෂණ, හෝ tls-auth සහ tls-crypt අතර නොගැළපීම කට්ටල තේරීම වැදගත් වීමට පෙර හුවමාරුව අවසන් කළ හැක. සේවාදායකයේ දෝෂය කියවන්න සේවාදායකයේ ලැයිස්තුව වෙනස් කිරීමට පෙර, මන්ද «handshake failed» විවිධ හේතු හතරක් ආවරණය කරන අතර ඉන් එකක් පමණක් ගුප්තකේතන නොගැළපීමකි.
VPN තොටුපළට openssl s_client යොමු කිරීමද ප්‍රශ්නය නැවත නිපදවන්නේ නැත. පාලන නාලිකාව OpenVPN හිම රාමුව තුළ ක්‍රියා කරයි, එබැවින් අමු TLS පරීක්ෂාව වෙනත් දෙයක් බලාපොරොත්තු වන තොටුපළක වෙනත් ප්‍රොටොකෝලයක් පරීක්ෂා කරයි. එයින් ගන්නා ඕනෑම නිගමනයක් පරීක්ෂාව ගැනය, උමග ගැන නොවේ.
ප්‍රතිඵල දෙකක් සටහන් කර ඒවා වෙන් කර තබන්න
නව අවසර ලත් සැසියක් ප්‍රොටොකෝල සංස්කරණය සහ තෝරාගත් ගුප්තකේතනය නම් කරන පාලන නාලිකා පේළියක්, සහ උමගේ ගුප්තකේතනය නම් කරන වෙනම දත්ත නාලිකා පේළියක් නිපදවයි. දෙකම සේවාදායක සංස්කරණය සහ පැතිකඩ නාමය සමඟ අල්ලා ගන්න, සහ කුමන සේවාදායක අවස්ථාව පිළිතුරු දුන්නේද යන්න සටහන් කරන්න:
openvpn --config office.ovpn --verb 4 2>&1 | tee session.txtපසුව එම පේළි දෙක මතකයෙන් නොව, එම ගොනුවෙන් කියවන්න. යුගලයම සාක්ෂියයි; කට්ටල නාමය පමණක් මනාපයකි, සහ සංස්කරණ සීමාව සේවාදායකය ප්‍රතික්ෂේප කරන දේ ගැන වෙනම ප්‍රකාශයකි.
පරීක්ෂණ මෙම අනුපිළිවෙලින් කරන්න. --version සමඟ ගොඩනැගීම සහ බැක්එන්ඩ් තහවුරු කරන්න. කිසිවක් වෙනස් කිරීමට පෙර --show-tls අල්ලා ගන්න. අවශ්‍ය සංස්කරණ පහළ සීමාව කට්ටල ලැයිස්තුවෙන් වෙන් කර ප්‍රකාශ කරන්න. ධාවනය වන අවස්ථාවේ ඵලදායී ප්‍රතිපත්තිය එහි හිමිකරු සමඟ තහවුරු කරන්න. එක් අවසර ලත් සැසියක් සහ, සැලැස්ම අවසර දෙන්නේ නම්, පැරණි සංස්කරණයක් සමඟ එක් ප්‍රතික්ෂේපිත උත්සාහයක් නිරීක්ෂණය කරන්න. පාලන නාලිකා සහ දත්ත නාලිකා ප්‍රතිඵල වෙනම සොයාගැනීම් ලෙස සටහන් කරන්න.
අවශ්‍ය සේවාදායකයට නව අවමයක් සපුරාලිය නොහැකි නම්, දියත් කිරීම අවසන් ලෙස පෙනීමට අදාළ නොවන පිළිගැනීම් රීතියක් නිහඬව පහත හෙළීම වෙනුවට එම සංක්‍රමණ හෝ ව්‍යතිරේක තීරණය පැහැදිලිව ගන්න.