Faylka DH ama furaha tls-auth? Kala saaridda laba fayl oo OpenVPN

Laba fayl, laba tilmaamood, iyo caadada ah in labadaba loogu magacaabo waxa ay dejiso. Sidaas dh.pem wuxuu ku dhacaa xariiq tls-auth oo macmiilku ku guuldareystaa fariin ku saabsan qaab fure oo lama filaan ah. Go'aanka hortaada ma aha faylka kee xoog badan. Waa doorka ay dhab ahaan u baahan tahay hawlgalku, iyo saddex shuruud ayaa go'aamiya: isweydaarsiga fure ee ay TLS stack-kaagu ka wada hadli doonto, haddii aad rabto xaqiijinta kanaalka xakamaynta, iyo haddii shaygu si qarsoodi ah u sii ahaado.

Ugu jawaab iyaga si taxane ah oo su'aasha faylku iskeeda ayaa uga jawaabi doonta. Haddii aad ka boodo, magacyada tilmaamuhu waxay u muuqdaan kuwo la isweydaarsan karo, taas oo ah tuduca khaladka uu ka yimid.

Akhri sumadda ka hor magaca faylka

Sadarka ugu horreeya ee faylku wuxuu ka warramaa wax ka badan magaca, sababtoo ah magacu waa caado bini'aadam halka sumadduna ay tahay mid uu soo saaro qalabka. Cabbirrada Diffie-Hellman waxay qaataan summad PEM BEGIN DH PARAMETERS. Furaha taagan ee OpenVPN waa qaab dhismeed gabi ahaan ka duwan, oo leh madaxiisa iyo xamuulkiisa lixdanaad.

Magac beddelidda waxba ma beddesho. Fayl cabbirro leh magaca ta.key weli waa cabbirro, furaha taaganna magaca dh.pem weli waa fure taagan; falanqeeyuhu wuxuu akhriyaa waxa ku jira oo diidaa ismaandhaafka. Hubi ka hor inta aadan tafatirin borofaylka:

head -n 1 dh.pem
head -n 1 ta.key

Saddex shuruud oo go'aamiya faylka aad u baahan tahay

Shuruudda koowaad waa isweydaarsiga. Gacan-qaadista Diffie-Hellman ee goob xaddidan waxay u baahan tahay koox, tilmaamaha dh waa halka uu serverku ugu magacaabo cabbirrada. Gacan-qaadista qalooca elliptical ayaa faylkaas gabi ahaan uma baahna, sababtoo ah qaloocu waa cabbirrada laftoodu. Haddii serverkaagu kaliya ka wada hadlo ECDHE suite-yo, faylka DH waa culeys dhintay oo ma aha xoog dheeraad ah.

Shuruudda labaad waa xaqiijinta kanaalka xakamaynta, oo ah sifo gaar ah oo shaykeeda leh. Faylka tls-auth waa fure taagan oo la wadaago oo labada dhinac hayaan, oo loo isticmaalo saxixidda baakadaha kanaalka xakamaynta si dhinaca aan la xaqiijin uusan xitaa dhammaystiri karin gacan-qaadista. Wuxuu jiraa haddii aad isticmaalayso DH goob xaddidan ama aanay, waxna kama quseyso cabbirrada kooxda.

Shuruudda saddexaad waa qarsoodiga iyo qaybinta. Cabbirrada DH waa la daabici karaa iyada oo aan fadhiga la daciifin, sababtoo ah qiyamka qarsoon waxaa loo abuuraa gacan-qaadis kasta oo waligoodna ma baxaan dhinacyada. Furaha taagan waa in aan la daabicin: waa isku bayt labada daraf, iskiis uma wareego, qof kasta oo hayana wuxuu soo saari karaa saxiixo ansax ah oo kanaalka xakamaynta. Labada jawaabood waxay tilmaamayaan xeerar maamul oo gabi ahaan kala duwan, sidaas darteed hal fayl wuxuu ku sii ahaan karaa keyd halka kan kalena uusan ahaan karin.

Soo saar shayga saxda ah doorka kasta

Isticmaal qalabka soo saara qaabka uu tilmaamuhu filayo halkii aad ka beddeli lahayd dhexdooda. Furaha la wadaago ee OpenVPN 2.6, qaabka la qoray ee soo-saareha wuxuu si cad u sheegaa ujeeddada.

openvpn --genkey tls-auth ta.key

Amarkaas wuxuu abuuraa shay sir cusub; ma dayactiro mana baarto fure jira, mar labaadna isticmaalkiisu wuxuu ku siinayaa fure kale oo aan dhinacyada kale haysan. Faylka soo baxa ku koobi dhinacyada u baahan iyada oo loo marayo kanaal aad u isticmaali lahayd sir kasta oo la wadaago, oo xeerka jihada si joogto ah u hayso: tls-auth dhinac wuxuu isticmaalaa key-direction 0 dhinaca kalena key-direction 1.

Cabbirrada DH, marka loo baahdo, waxay ka yimaadaan abuurista cabbirro oo ma aha soo-saare fure, asalkooduna waa muhiim xitaa marka natiijadu tahay mid guud. Koox laga soo qaatay il aan la aqoon kuma noqoto mid la aamini karo sababtoo ah waa guud; weli waa inay tahay koox ay dhinacyadaadu ku heshiiyaan iyo mid aan cabbirkeeda ama dhismihiisa daciifin.

Muxuu dh none macneeyaa iyo waxa uusan macneyn

dh none waa tilmaan dhab ah oo macne cidhiidhi ah leh: ma jiro fayl cabbirro goob xaddidan oo la rari doono, sababtoo ah gacan-qaadistu waxay isticmaashaa Diffie-Hellman qalooca elliptical. Ma aha soo-gaabinta «bood boodka DH» macne ahaan wax daciifin, mana sheegto OpenVPN inuu aqbalaado fayl kale beddel ahaan.

Laba khalad ayaa ka yimaada akhris qaldan. Midda koowaad waa in la maleeyo in dh none meesha ka saarayso baahida tls-auth, halka labaduba maamulaan waxyaabo kala duwan. Midda labaad waa in xariiq dh duugoobay lagu hayo agagaarka habaynta qalooca kaliya kadibna la yaabo faylka uu serverku dhab ahaan isticmaalayo; haddii tilmaamuhu jiro, faylka waa la akhriyaa, oo dariiqa jaban halkaas wuxuu guuldareystaa bilowga sabab aan xiriir la lahayn isweydaarsiga la wada hadli doono.

Haddii faylka qaldan horey loo geyn

Ka soo celi sirta loogu talagalay milkiilaha borofaylka oo ha taaban xaqiijinta shahaadada inta aad taas samaynayso. Guuldarradu waa ismaandhaaf qaab, ma aha guuldar aamin, oo daminta xaqiijinta si khaladka looga baxo waxay beddeshaa dhibaato bilow dhibaato aamusan.

Kadib kala sooc labada dhacdo ee dadku u janjeeraan inay isku daraan. Daabacaadda fayl cabbirro DH waa ku dhowaad waxyeello la'aan, sababtoo ah cabbirradu waxay ahaayeen kuwo guud markii la qorsheeyay. Soo bandhigidda furaha tls-auth waa dhacdo kale: furahu wuxuu xaqiijiyaa baakadaha kanaalka xakamaynta dhinac kasta oo haysta, sidaas darteed beddelka waa in lagu xoojiyo hawlgalka oo dhan halkii lagu dabaqi lahaa hal martigeliye.

Baaritaan shan daqiiqo ah ayaa go'aamiya kiiska aad ku jirto: akhri sadarka ugu horreeya fayl kasta, xaqiiji tilmaamaha tixraacaya, oo xaqiiji in qaybinta faylku ay la socoto waxa uu shaygu u baahan yahay. Taasi waa shaqo ka yar dib u soo saarista PKI shaqaynaya, waana tii ay saddexda shuruudood inta badan tilmaamayeen.