tls-auth key-direction: 0 සහ 1 වෙනස් විය යුතුය, නොගැලපෙන
tls-auth සමඟ දෙපසට විරුද්ධ දිශා අවශ්‍යයි, 0 සහ 1, නැතහොත් දෙකම සැකසුම ඉවත් කළ යුතුය. එකම අංකය අසාර්ථක වේ, සහ tls-crypt එය කිසිදා භාවිත නොකරයි.
උමං මාර්ගයේ එක් පසක් අනෙක් පස කිසිදා පරීක්ෂා නොකරන යතුරු ස්ලොටයකින් පාලන නාලිකාවට අත්සන් කරන අතර, එකම සහතිකයක් හෝ හුවමාරු වීමට පෙර සම්බන්ධතාවය සත්‍යාපන දෝෂයකින් මිය යයි. tls-auth හි දිශා නොගැලපීම එසේ පෙනෙන අතර, එය නිර්ණායක වේ: එම ගොනු දෙකම සෑම උත්සාහයකදීම, ඕනෑම ජාලයකින් අසාර්ථක වේ. ලොගයේ ඔබ සොයන විකල්පයේ නම නැත, එබැවින් මිනිසුන් කිසිදා නොකැඩුණු යතුරු නැවත ගොඩනගා සහතික නැවත නිකුත් කරයි. විසඳුම වන්නේ දෙපස අනුපූරක කිරීමයි, නැතහොත් දෙකම ද්විදිශාව තැබීමයි, සත්‍යාපනය දුර්වල කිරීම නොවේ.
අසාර්ථකත්වය සහතිකවලට පෙර සිදු වේ
tls-auth සමඟ දෙපසම එකම හවුල් යතුර රඳවා ගන්නා අතර එක් එක් පස එයින් ලබාගත් ස්ලොට දෙකෙන් එකක් භාවිත කරයි: එක් ස්ලොටයක් පිටවන පාලන පැකට් අත්සන් කරයි, අනෙක ඇතුළට එන පැකට් සත්‍යාපනය කරයි. දිශා 0 සහ දිශා 1 මෙම භූමිකා විරුද්ධ අනුපිළිවෙලින් පවරයි, එබැවින් HMAC පරීක්ෂණ ගැලපීමට යුගලය අනුපූරක විය යුතුය. එක් පසක පැවරීම ආපසු හැරුණු විට, ලබන්නා වැරදි ස්ලොටයේ අත්සනක් සොයා පැකට් ප්‍රතික්ෂේප කරයි. සැසිය එහිදී අවසන් වේ, එබැවින් දෝෂය පැකට් සත්‍යාපනයට අදාළ වන අතර සහතික ගබඩාව නිපදවන කිසිවකට නොවේ.
නිර්ණායකත්වය රෝග විනිශ්චය සඳහා වැදගත් වේ, මන්ද වේලාව හෝ මාර්ග ගැටලුවක් වෙනත් සලකුණක් ඉතිරි කරයි: කිසිදා නොනවත්වා කැඩීම්, එක් දිශාවක් අසාර්ථක වීම, හෝ යම් ජාලයක පමණක් මිය යන සැසියක්. දිශා නොගැලපීම සෑම විටම පළමු අත්ලාන්තියේදී අසාර්ථක වන අතර, එම ගොනු දෙකම ඇති තවත් යන්ත්‍රයක ද එලෙසම අසාර්ථක වේ. --verb 4 හි ලොගය කියවා අවසාන පේළිය වෙනුවට පළමු ප්‍රතික්ෂේපිත පැකට් සොයන්න. එම ප්‍රතික්ෂේපය කිසිදු සහතික හුවමාරුවකට පෙර සිදු වුවහොත්, හවුල් යතුර සහ එහි දිශාව පරීක්ෂා කිරීමට වටිනා කරුණු දෙකකි.
| What you see | What it rules out | Next check |
|---|---|---|
| Authentication error before any certificate is sent | The data channel is irrelevant; the control channel never authenticated | Compare tls-auth and its direction on both ends |
| Certificate or handshake failure after the control channel authenticates | The shared key and its direction already agree | Check the CA, the certificate dates and the hostname |
| Session completes but throughput or cipher warnings appear | Direction was never the problem | Compare the data-channel cipher settings |
| Startup stops on an options error | The number itself is not the issue | Re-read the inline versus external directive syntax |
අංකය ජීවත් වන්නේ කොහේද
OpenVPN 2.6 අත්පොත දිශාව සඳහා ස්ථාන දෙකක් වාර්තා කරයි: යතුර වෙනම ගොනුවක ඇති විට tls-auth හි දෙවන තර්කය, සහ යතුර පැතිකඩෙහි ඇතුළත් විට වෙනම key-direction පේළිය. දෙකම එකම අගය සකසයි, එබැවින් පැතිකඩක් එක් ආකාරයක් හෝ අනෙක භාවිත කළ යුතුය, කිසිදා දෙකම නොවේ. ඉවත් කිරීම ද තේරීමක් වන අතර, එය දෙපසම ද්විදිශා සැකැස්මක තබයි, කිසිදු පසක් දිශාවක් නොකියන විට එය ක්‍රියා කරයි. එකම අංකය ඇති දෙපසම එම සැකැස්මේ නොමැත: එක් එක් පස එක් ස්ලොටයක අත්සන් කර අනෙකෙහි සත්‍යාපනය කිරීම බලාපොරොත්තු වන අතර, දෙකම එය එකම ආකාරයෙන් කරයි.
# server.conf, external key tls-auth ta.key 0 # client.ovpn, external key tls-auth ta.key 1 # client.ovpn, inline key key-direction 1
ඇතුළත් ආකාරය තමන්ගේම පේළියක උපදෙසකි, යතුරු කොටසේ විවෘත කිරීමේ ටැගයේ ගුණාංගයක් නොවේ, සහ එම ටැගයට තර්කයක් එකතු කිරීම දෝෂයකි, දිශා වෙනසක් නොවේ. ස්ථානය ද වැදගත් වේ: උපදෙස එය අයත් වන කොටසින් පිටත පිහිටයි, එබැවින් කොටස තුළ ලියන ලද අගයක් යතුරු ද්‍රව්‍ය ලෙස කියවනු ලැබේ. පැතිකඩ බෙදාහරින්නා අදහස් කළ සැකැස්ම පිටපත් කරන්න, යුගලයක් නිර්මාණය කිරීම වෙනුවට, මන්ද එක් සේවාදායකයකට එරෙහිව ක්‍රියා කරන පැතිකඩක් දැනටමත් අනෙක් පස පිළිබිඹු වී තිබිය හැකිය.
විකල්පය ස්පර්ශ නොකරන්නේ කුමක්ද
එය යෙදුම් රහස්‍ය තොරතුරු සංකේතනය නොකරයි. tls-auth පාලන නාලිකාවේ පැකට් වටා HMAC තබයි, දත්ත නාලිකාව අත්ලාන්තියේදී සාකච්ඡා කරන ලද සැසි යතුරු මගින් ආරක්ෂා වේ, එබැවින් ප්‍රවාහය හෝ සංකේතය පිළිබඳ ප්‍රශ්නය දිශා අංකයට කිසිදු සම්බන්ධයක් නැත. සැකසුම දෙවන සංකේතන ස්ථරයක් ද එකතු නොකරයි, සහ මිනිසුන් දිගු යතුරක් සොයා යාමට යවන්නේ එම උපකල්පනයයි.
එය tls-crypt සඳහා අදාළ නොවේ, තමන්ගේම විකල්ප සහ යතුරු හැසිරවීම සහිත තවත් පාලන නාලිකා ක්‍රමවේදයකි, සහ එය කිසිදු පසක සහතික අනන්‍යතාවය ගැන කිසිවක් නොකියයි. එබැවින් ක්‍රියාකාරී දිශා ගැලපීම පෙන්වන්නේ දෙපසම පාලන නාලිකාව සත්‍යාපනය කරන ආකාරය ගැන එකඟ බව පමණක් වන අතර, විශ්වාස දාමය සත්‍යාපනය වූ බව නොවේ.
යුගලය පෙළගස්වා නැවත සම්බන්ධ වන්න
කිසිවක් වෙනස් කිරීමට පෙර සැකසුම් දෙක සසඳන්න, මන්ද දැනටමත් නිවැරදි පස සංස්කරණය කිරීම කාර්යය දෙගුණ කරයි. පහත grep එක් එක් ගොනුව තෝරන ක්‍රමවේදය පෙන්වයි; විස්තරාත්මක ධාවනය පාලන නාලිකාව සත්‍යාපනය වූයේදැයි පෙන්වයි. ප්‍රතිදාන දෙකම තබා ගන්න, ඊළඟ වෙනස දන්නා තත්ත්වයක් සමඟ සැසඳිය හැකි වන පරිදි.
grep -n -E 'tls-auth|tls-crypt|key-direction' server.conf client.ovpn openvpn --config client.ovpn --verb 4 2>&1 | grep -i -E 'hmac|tls error|control channel'
කිසිදු වෙනසකින් පසු දෙපසම නැවත අරඹන්න, මන්ද මෙම විකල්ප ආරම්භයේදී එක් වරක් කියවනු ලබන අතර එක් පසක් නැවත පූරණය කිරීම පැරණි සැසියේ මුළු ආයු කාලය පුරාම යුගලය අසංගතව තබයි. යෙදවීම දැන් දිශාවක් වින්‍යාස නොකර ක්‍රියා කරන්නේ නම්, එක් පසකට සැකසුම එකතු කිරීම ඔබ ආරම්භ කළ අසාර්ථකත්වය නැවත නිපදවයි; දෙකම තබන්න හෝ දෙකම වින්‍යාස කරන්න. එක් වරකට එක් කෙළවරක් වෙනස් කර පෙර ගොනුව තබා ගන්න, එවිට පසුබැසීම නැවත ගොඩනැගීමක් නොව දෙමිනිත්තු ප්‍රතිවර්තනයක් වේ.
එක් එක් කෙළවර සඳහා ක්‍රමවේදය, යතුරු ගොනුව සහ දිශාව යෙදවීම් සටහන්වල සටහන් කරන්න, නැතහොත් ඊළඟ පුද්ගලයා සමාන ගොනු දෙකක් කියවා අංක එකිනෙකට ගැලපිය යුතු යැයි උපකල්පනය කරයි. දිශාව සම්බන්ධීකරණ විස්තරයකි, ආරක්ෂක උත්ශ්‍රේණිගත කිරීමක් නොවේ: එය පාලන නාලිකාවේ දිශා දෙක වෙන් කරන අතර වෙන කිසිවක් නොකරයි.