Ako OpenVPN data-ciphers vyberá šifru dátového kanála

Tunel sa zdvihne, protokol ukáže šifru a kontrola profilu pokračuje. Potom príde aktualizácia na jednom partnerovi a ten istý profil zlyhá so správou o žiadnej spoločnej šifre, čo pošle ľudí hľadať direktívu na zmazanie. Užitočné je pochopiť, že data-ciphers opisuje rokovanie, nie nastavenie. Jedna strana ponúkne zoznam, druhá z neho vyberá a výsledkom je jediný algoritmus, ktorý obe podporujú. Prečítanie tej výmeny vysvetlí väčšinu týchto zlyhaní skôr, než zmeníte jediný riadok.

Dva kanály, dve konfigurácie

Relácia OpenVPN má riadiaci kanál a dátový kanál. Riadiaci kanál vedie TLS handshake, ktorý overuje partnerov a dohaduje kľúče. Dátový kanál šifruje pakety, ktoré prenášajú váš prenos.

data-ciphers konfiguruje ten druhý. Riadiaci kanál má vlastné možnosti a kontroly identity profilu sú tretia, samostatná záležitosť. Zmena jedného neopraví druhé, a preto môže profil vyzerať správne a napriek tomu zlyhať v určitej fáze.

Keď čítate konfiguračný súbor, držte tieto tri v oddelených priehradkách.

Prečítajte rokovanie z protokolu

Klientsky protokol uvádza oba výsledky, keď spojenie uspeje. Jeden riadok hlási riadiaci kanál a jeho TLS podrobnosti a iný hlási vybranú šifru dátového kanála.

Prečítajte oba, pretože odpovedajú na rôzne otázky. Zlyhanie riadiaceho kanála zastaví spojenie skôr, než začne záležať na akejkoľvek dátovej šifre. Nezhoda dátového kanála sa objaví po úspešnom handshake, so správou o žiadnej spoločnej šifre.

Potom porovnajte ponúkané zoznamy na oboch stranách. Názov, ktorý verzia jedného partnera alebo jeho kryptografické zázemie neposkytuje, nemožno vybrať, bez ohľadu na to, ako skoro sa objaví v zozname druhého partnera.

Ako výber vlastne prebieha

Server pri handshake posiela klientovi svoj zoznam data-ciphers a klient vyberie prvú položku v tomto zozname, ktorú tiež podporuje. Poradie teda patrí ku konfigurácii servera, nie klienta.

Tento detail vysvetľuje jednu triedu mätúcich výsledkov. Preusporiadanie klientského zoznamu nič nezmení, kým rozhoduje zoznam servera. Pridanie šifry, ktorú klient nevie poskytnúť, tiež nič nezmení, pretože klient musí vedieť vybranú položku použiť.

Novšie vydania zmenili predvolený zoznam a premenovali voľbu, ktorá ho predtým držala, takže dvaja partneri na rôznych verziách sa môžu rozísť bez toho, aby ktokoľvek upravil profil. Predtým, ako predpokladáte preklep, skontrolujte verziu na každej strane.

Zoznam nie je v abstraktnom zmysle rebríček sily. Je to sada kandidátov a vybraný je prvý vzájomne podporovaný záznam v poradí servera. Preto môžu dva zoznamy, ktoré vyzerajú rôzne, dohodnúť rovnakú šifru. Preto tiež môžu dva zoznamy, ktoré vyzerajú rovnako, zlyhať.

Starší partneri potrebujú zámernú záložnú voľbu

Partner, ktorý vôbec nevie rokovať, pretože je starší ako mechanizmus alebo ho má vypnutý, potrebuje zdokumentované usporiadanie kompatibility. Záložná voľba existuje presne pre tento prípad a platí pre partnerov, ktorí sa na rokovaní nezúčastňujú.

To nie je to isté ako zapnutie každej starej šifry, aby správa zmizla. Široký zoznam oslabuje reláciu pre každého partnera, vrátane tých, ktorí by boli dohodli niečo silné.

Zosúlaďte obe strany namiesto úpravy nesúvisiacich názvov algoritmov. Ak aktualizácia servera odstránila starú voľbu, oprava patrí do plánu verzií, nie do zhonu na klientovi.

Zachovajte overovanie v celku

Nezhoda dátového kanála nie je dôvod prijať neoverený server. Overenie certifikátu, očakávané meno servera a nastavenia ochrany riadiaceho kanála sú oddelené od výberu šifry a mali by prežiť každú zmenu kompatibility.

Zaznamenajte dohodnutú dátovú šifru, verziu klienta a verziu servera spoločne, aby budúce porovnanie začalo od faktov, nie od súboru profilu.

Po podporovanej oprave otestujte počiatočné spojenie a nové rokovanie, pretože relácia, ktorá sa raz nadviaže, môže pri obnove kľúčov stále zlyhať.

Ak sa tunel nadviaže a stránky stále zlyhávajú, šifra už nie je podozrivá. Pokračujte smerovaním a DNS. Poradie práce: prečítajte oba riadky protokolu, porovnajte oba zoznamy, skontrolujte verzie, pridajte záložnú voľbu len partnerovi, ktorý ju potrebuje, a potom znova otestujte cestu obnovy.