Zakaj dodajanje opt-verify ne bo odpravilo napake šifriranja v OpenVPN

Najdete predlog, da dodate opt-verify, dodate vrstico in napaka šifriranja ostane točno tam, kjer je bila. Ta izid je predvidljiv, ker možnost nikoli ni izpogajala šifriranja. Bilo je preverjanje skladnosti možnosti, zastarelo v 2.6 in odstranjeno v 2.7, in profil, ki se z njo še vedno razčlenjuje, s tem ni ničesar vsilil.

Koristno je vedeti, kaj je vrstica počela prej, preden sklepate, da je manjkajoči del. Zgodovina tudi pojasni, zakaj zdaj ne more pomagati.

Kaj je možnost prej vsiljevala

Priročnik za 2.6 označuje opt-verify kot zastarelo in opisuje prejšnje vedenje: strežnik zavrže odjemalce, katerih navedene možnosti se ne ujemajo z njegovimi, in primerja stvari, kot sta vrsta naprave in MTU. To preverjanje je odvisno tudi od tega, da preverjanje skladnosti možnosti ostane vključeno, zato strežnik, ki teče s disable-occ, tega nikoli ni imel. Bodite pozorni, iz česa je sestavljena primerjava: iz besedila, ki opisuje konfiguracijo druge strani. Ne pove ničesar o tem, katero šifriranje bo uporabil podatkovni kanal.

To je prvi razlog, zakaj zastavica ne more popraviti napake šifriranja. Izbira šifriranja je urejena s politiko data-ciphers in s tem, kar podpirata obe strani, in besedilno preverjanje skladnosti niti ne razširi tega seznama niti ne izvede pogajanj. Drugi razlog je obseg: preverjanje se nanaša na to, ali so navedene možnosti videti združljive, ne na kakovost nastale poti.

Kaj naredi 2.7, ko vidi vrstico

V 2.7 možnosti ni več. Razčlenjevalnik še vedno prepozna ime, zato se stari profil naloži brez skladenjske napake, in sporoči, da je bila možnost odstranjena, namesto da bi jo tiho preskočil. Prepoznati ime in vsiliti vedenje sta različni stvari, in še vedno se zgodi le prvo. Opombe o odstranitvi navajajo razlog: ko je o parametrih mogoče izpogajati, imata lahko dve strani zakonito različne nize možnosti, medtem ko se strinjata o povezavi.

Profil, ki se razčlenjuje, torej ni dokaz, da je bila izvedena kakršna koli vstopna kontrola. Če je edini signal, da se je odjemalec povezal, ste izvedeli, da je bila skladnja sprejeta.

Kje napaka v resnici živi

Shranite prvo konkretno napako, preden karkoli spremenite, ker so poznejša sporočila običajno njene posledice. Neuspeh pogajanj podatkovnega kanala sodi k odobreni politiki šifriranja in k zmožnostim, ki jih obe strani dejansko oglašujeta. Neuspeh različice ali nabora TLS sodi k nadzornemu kanalu. Zavrnitev potrdila potrebuje identiteto in verigo zaupanja, ne zastavice združljivosti.

Prepoznajte tudi pogon na obeh koncih. Namizna aplikacija lahko vsebuje drugo gradnjo kot ukazna binarna datoteka, s katero ste testirali, in podpora možnostim se med njima razlikuje. Preverite dokumentacijo tega pogona, namesto da bi predpostavili, da se vsak program, ki uvozi profil, vede enako.

Nadomestite namen, ne le vrstice

Če se je starejši upravljani strežnik res zanašal na preverjanje skladnosti, zapišite, katero omejitev je vsiljeval pred nadgradnjo. Ohranjanje prezrte možnosti v novejšem profilu te politike ne more ohraniti, in tudi brezglavo brisanje vrstic ne.

Ne odgovorite na star predlog, da so vsa šifriranja onemogočena, tako da omogočite vsak zgodovinski algoritem.

Po odobrenem popravku preglejte izpogajane rezultate na novi povezavi in preizkusite aplikacijo, ki jo uporabnik res potrebuje. Obdržite različico strežnika in dejansko politiko ob tem rezultatu, da bo naslednja oseba videla, kaj je bilo dogovorjeno, ne le kaj je bilo sprejeto.

Cilj je podprta omejitev in delujoča overjena pot, ne stara zastavica, ki se še vedno razčlenjuje.