Kako OpenVPN data-ciphers izbere šifro podatkovnega kanala

Predor se dvigne, dnevnik pokaže šifro in pregled profila se nadaljuje. Nato prispe posodobitev pri enem partnerju in isti profil ne uspe s sporočilom o nobeni skupni šifri, kar pošlje ljudi iskat direktivo, ki jo je treba izbrisati. Koristno je razumeti, da data-ciphers opisuje pogajanje, ne nastavitve. Ena stran ponudi seznam, druga iz njega izbira, rezultat pa je en sam algoritem, ki ga podpirata obe. Branje te izmenjave pojasni večino teh napak, preden spremenite eno vrstico.

Dva kanala, dve konfiguraciji

Ena OpenVPN seja ima krmilni kanal in podatkovni kanal. Krmilni kanal izvede rokovanje TLS, ki overi partnerje in se dogovori o ključih. Podatkovni kanal šifrira pakete, ki prenašajo vaš promet.

data-ciphers konfigurira drugega. Krmilni kanal ima svoje možnosti, preverjanja identitete profila pa so tretja, ločena zadeva. Sprememba enega ne popravi drugega, zato je profil lahko videti pravilen in vseeno ne uspe na določeni stopnji.

Ko berete konfiguracijsko datoteko, imejte te tri v ločenih predalih.

Preberite pogajanje iz dnevnika

Dnevnik odjemalca navede oba izida, ko povezava uspe. Ena vrstica poroča o krmilnem kanalu in njegovih podrobnostih TLS, druga pa o izbrani šifri podatkovnega kanala.

Preberite obe, ker odgovarjata na različna vprašanja. Napaka krmilnega kanala ustavi povezavo, preden postane pomembna katera koli podatkovna šifra. Neujemanje podatkovnega kanala se pojavi po uspešnem rokovanju, s sporočilom o nobeni skupni šifri.

Nato primerjajte ponujena seznama na obeh straneh. Imena, ki ga različica enega partnerja ali njegovo kriptografsko ozadje ne ponuja, ni mogoče izbrati, ne glede na to, kako zgodaj se pojavi na seznamu drugega partnerja.

Kako izbira v resnici poteka

Strežnik med rokovanjem potisne svoj seznam data-ciphers odjemalcu, odjemalec pa izbere prvi vnos na tem seznamu, ki ga tudi podpira. Vrstni red torej pripada konfiguraciji strežnika, ne odjemalca.

Ta podrobnost pojasni eno vrsto zmedenih izidov. Preurejanje odjemalčevega seznama ne spremeni ničesar, dokler odloča strežnikov seznam. Tudi dodajanje šifre, ki je odjemalec ne more ponuditi, ne spremeni ničesar, ker mora odjemalec izbrani vnos znati uporabiti.

Novejše izdaje so spremenile privzeti seznam in preimenovale možnost, ki ga je prej vsebovala, zato se dva partnerja na različnih različicah lahko ne strinjata, ne da bi kdo urejal profil. Preden domnevate tipkarsko napako, preverite različico na vsaki strani.

Seznam v abstraktnem smislu ni lestvica moči. To je niz kandidatov, izbrani pa je prvi vzajemno podprti vnos v vrstnem redu strežnika. Zato se lahko dva seznama, ki izgledata različno, dogovorita za isto šifro. Zato lahko tudi dva seznama, ki izgledata enako, spodletita.

Starejši partnerji potrebujejo namerno rezervo

Partner, ki se sploh ne more pogajati, ker je starejši od mehanizma ali ga je onemogočil, potrebuje dokumentirano ureditev združljivosti. Rezervna možnost obstaja prav za ta primer in velja za partnerje, ki se pogajanj ne udeležujejo.

To ni isto kot omogočiti vsako staro šifro, da bi sporočilo izginilo. Širok seznam oslabi sejo za vsakega partnerja, tudi za tiste, ki bi se dogovorili za kaj močnega.

Uskladite obe strani, namesto da urejate nepovezana imena algoritmov. Če je posodobitev strežnika odstranila staro možnost, popravek spada v načrt različic, ne v naglico pri odjemalcu.

Ohranite preverjanje neokrnjeno

Neujemanje podatkovnega kanala ni razlog za sprejem nepreverjenega strežnika. Preverjanje potrdila, pričakovano ime strežnika in varnostne nastavitve krmilnega kanala so ločeni od izbire šifre in bi morali preživeti vsako spremembo združljivosti.

Skupaj zabeležite dogovorjeno podatkovno šifro, različico odjemalca in različico strežnika, da se bo naslednja primerjava začela od dejstev in ne od datoteke profila.

Po podprtem popravku preizkusite začetno povezavo in ponovno pogajanje, ker seja, ki se vzpostavi enkrat, lahko pri obnovi ključev še vedno spodleti.

Če se predor vzpostavi in strani še vedno ne delujejo, šifra ni več osumljenec. Nadaljujte z usmerjanjem in DNS. Vrstni red dela: preberite obe vrstici dnevnika, primerjajte oba seznama, preverite različice, dodajte rezervo samo partnerju, ki jo potrebuje, in nato znova preizkusite pot obnove.