Zlyhanie overenia HMAC v paketoch OpenVPN: ktorá vrstva?

Dve zlyhania hlásené rovnakým slovníkom a nemajú takmer nič spoločné. Jedno je paket, ktorého overovacia značka nesedela; druhé je človek, ktorého prístupové údaje boli odmietnuté. Ak prvé považujete za druhé, hľadáte heslo, ktoré nikdy nebolo problémom.

Správa menuje vrstvu a užitočnou prácou je rozhodnúť, ktorá vrstva to je, skôr než vymeníte akýkoľvek materiál. Porovnanie kandidátov vedľa seba je najrýchlejší spôsob, ako vidieť rozdiel.

Dve zlyhania, ktoré zdieľajú slovo

Chyba overenia paketu vzniká počas spracovania prevádzky: značka alebo odtlačok na prijatom pakete nesedel s tým, čo príjemca vypočítal. Odmietnutie účtu prichádza po spracovaní prihlasovacej výmeny a menuje používateľa, nie paket. Tretia správa, o tom, že v prichádzajúcom pakete nemožno nájsť HMAC, je zas iná, pretože tam paket prišiel úplne bez očakávaného overovacieho prvku. Celý prefix záznamu vám povie, ktorý z tých troch máte, a práve prefix sa zvyčajne odstráni ako prvý, keď sa chyba vkladá do tiketu.

Rozlíšenie mení opravu. Jedno si vyžaduje zladenie nastavení kanála, druhé stav účtu a tretie profil, ktorý nezodpovedá naslúchajúcemu koncovému bodu.

Porovnajte, čo bežiaci proces skutočne načítal

Správny súbor na disku nič nedokazuje o procese, ktorý sa spustil predtým, než ste ho upravili. Skontrolujte vybraný profil, koncový bod, s ktorým sa spojil, a či bola služba od zmeny znovu načítaná. Potvrďte tiež, že koncový bod patrí k profilu, pretože na mieste, kde starý súbor očakáva niečo iné, môže počúvať iná inštancia alebo iná služba.

Opätovný export podporovaného profilu z rovnakého zdroja je lacné porovnanie, pretože odstráni rozdiel medzi tým, čo považujete za nastavené, a tým, čo klient skutočne odosiela. Vytvorenie nového kľúčového materiálu je oveľa väčší krok a pomôže len vtedy, ak ho prijmú obe strany spolu. Výmena jednej strany lokálne znovu vytvorí nezhodu, ktorú ste sa snažili odstrániť.

Porovnajte riadiaci kanál s dátovým kanálom

Dva mechanizmy overujú rôzne časti spojenia a konfigurujú sa oddelene, ako to opisuje referencia možností 2.6. tls-auth pridáva HMAC k paketom riadiaceho kanála a preberá argument smeru, ktorý musí byť na oboch protistranách opačný, kým tls-crypt chráni riadiaci kanál zdieľaným kľúčom. Ani jeden nie je vlastnou kontrolou integrity dátového kanála. Pri dátovej šifre AEAD je táto kontrola zabudovaná v šifre, takže samostatný odtlačok auth sa nepoužíva tak ako pri šifre bez AEAD.

To znamená, že riadok auth skopírovaný z funkčného nasadenia bez AEAD môže byť pri nasadení s AEAD nepodstatný a nasadenie s AEAD môže stále zlyhať na riadiacom kanáli, ak je kľúč tls-auth alebo jeho smer nesprávny. Porovnávajte každé nastavenie s protistranou, nie s pamätanou konfiguráciou.

Porovnajte opravu s vlastnosťou, ktorú sa vzdávate

Vypnutie overovania paketov utíši varovanie a odstráni kontrolu, ktorá našla nezhodu, čo nie je to isté ako oprava profilu. Spýtajte sa, ktorej vlastnosti sa vzdávate a či návrh bez nej ešte obstojí.

Pred akoukoľvek zmenou si prečítajte prvú relevantnú udalosť na oboch stranách a potom zmeňte len nezhodu, ktorú menuje.

Ak ďalší pokus postúpi k chybe certifikátu alebo prihlásenia, je to pokrok, nie regresia: paketová vrstva už súhlasí a spojenie sa posunulo ďalej. Zapíšte nastavenia, ktoré zmenu spôsobili, aby ďalší človek zdedil vysvetlenie namiesto záhady.