Neuspešno preverjanje HMAC paketov OpenVPN: katera plast?

Dve napaki, ki ju poročajo z istim besediščem in nimata skoraj nič skupnega. Ena je paket, katerega preveritvena oznaka se ni ujemala; druga je človek, katerega poverilnice so bile zavrnjene. Če prvo obravnavate kot drugo, iščete geslo, ki nikoli ni bilo težava.

Sporočilo poimenuje plast, koristno delo pa je odločiti, katera plast je to, preden zamenjate kateri koli material. Primerjava kandidatov drugega ob drugega je najhitrejši način, da vidite razliko.

Dve napaki, ki si delita besedo

Napaka preverjanja paketa se pojavi med obdelavo prometa: oznaka ali povzetek na prejetem paketu se ni ujemal s tem, kar je izračunal prejemnik. Zavrnitev računa se zgodi po tem, ko je prijavna izmenjava razčlenjena, in poimenuje uporabnika, ne paketa. Tretje sporočilo, o tem, da v dohodnem paketu ni mogoče najti HMAC, je spet drugačno, saj je tam paket prispel povsem brez pričakovanega preveritvenega elementa. Celotna predpona dnevnika vam pove, katero od treh imate, in predpona je običajno prva stvar, ki se odstrani, ko se napaka prilepi v zahtevek.

Razlika spremeni popravilo. Eno zahteva usklajene nastavitve kanala, drugo stanje računa, tretje pa profil, ki se ne ujema s poslušalcem, do katerega je prišel.

Primerjajte, kaj je tekoči proces dejansko naložil

Pravilna datoteka na disku ničesar ne dokazuje o procesu, ki se je začel, preden ste jo uredili. Preverite izbrani profil, končno točko, s katero se je povezal, in ali je bila storitev od spremembe znova naložena. Potrdite tudi, da končna točka pripada profilu, saj lahko na mestu, kjer stara datoteka pričakuje nekaj drugega, posluša druga instanca ali druga storitev.

Ponoven izvoz podprtega profila iz istega vira je poceni primerjava, ker odpravi razkorak med tem, kar menite, da je nastavljeno, in tem, kar odjemalec dejansko pošilja. Ustvarjanje novega ključnega gradiva je veliko večji korak in pomaga le, če ga obe strani sprejmeta skupaj. Zamenjava ene strani lokalno znova ustvari neujemanje, ki ste ga želeli odpraviti.

Primerjajte nadzorni kanal s podatkovnim kanalom

Dva mehanizma preverjata različne dele povezave in se nastavljata ločeno, kot opisuje referenca možnosti 2.6. tls-auth doda HMAC paketom nadzornega kanala in sprejme argument smeri, ki mora biti na obeh straneh nasproten, medtem ko tls-crypt nadzorni kanal ščiti z deljenim ključem. Noben ni lastno preverjanje celovitosti podatkovnega kanala. Pri podatkovni šifri AEAD je to preverjanje vgrajeno v šifro, zato se ločeni povzetek auth ne uporablja tako kot pri šifri brez AEAD.

To pomeni, da je vrstica auth, kopirana iz delujoče namestitve brez AEAD, lahko v namestitvi z AEAD nepomembna, namestitev z AEAD pa lahko še vedno odpove na nadzornem kanalu, če je ključ tls-auth ali njegova smer napačna. Vsako nastavitev primerjajte z drugo stranjo, ne s konfiguracijo, ki se je spomnite.

Primerjajte popravilo z lastnostjo, ki se ji odrekate

Izklop preverjanja paketov utiša opozorilo in odstrani preverjanje, ki je našlo neujemanje, kar ni isto kot popravilo profila. Vprašajte se, kateri lastnosti se odrekate in ali zasnova brez nje še vzdrži.

Pred vsako spremembo preberite prvi pomembni dogodek na obeh straneh, nato spremenite le neujemanje, ki ga navaja.

Če se naslednji poskus premakne na napako potrdila ali prijave, je to napredek, ne regresija: paketna plast se zdaj strinja in povezava je šla naprej. Zapišite nastavitve, ki so povzročile spremembo, da bo naslednji človek podedoval razlago namesto uganke.