VPN ma ka dhammaadaa entropy? Waa maxay waxa entropy_avail run ahaantii muujiya
Joogitaanka bilowga iyo tunnel la aasaasay oo gaabis ah waa laba khalad oo kala duwan. Akhri marxaladda, macnaha dhabta ah ee tirakoobka iyo safka ka hor inta aadan randomnimada eedayn.
Dhammaadka randomnimada kernel-ka waa sharaxaad soo jiidasho leh oo VPN gaabis ah, oo had iyo jeer khaldan calaamada dadku soo sheegaan. Martigeliyaha sugaya soo-saar random ah wuxuu istaagaa waqti gaar ah, badanaa bilowga boot-ka ama inta lagu jiro maaraynta furayaasha. Tunnel-ka si degdeg ah u xirma oo markaas si gaabis ah u gudbiya wuxuu beddelkeeda sharraxayaa awoodda gudbinta. Kala sooc labadan observation ka hor inta aadan rakibin daemon si aad u hagaajiso lambar aadan akhrin dhammaystirin.
Sababta khuraafaadku u sii noolaado
Labada mushkiladoodba waa dhab, oo meel fog isku mid ayay u eg yihiin. Joogitaanno bilow ah oo ku yimaada mishiin virtual ah oo hadda la bootay ayaa dhab ahaan dhaca, tunnel-ka la aasaasay ee gaabis ahna sidoo kale waa dhab. Khaladku waa in loo qaato in labaad uu ka yimid kan koowaad sababtoo ah cryptography meel ku muuqata labada sheeko. Waxba kelmadda sir-gelin ma tilmaamayso in byte kasta oo la gudbiyo uu isticmaalo byte cusub oo qaylo deegaan ah.
Jenersisyadani sidaas uma shaqeeyaan. Maktabadda cryptographic waxay haysaa generator abuur leh oo wax ka soo qaadataa, mar kale abuurta iyadoo raacda siyaasaddeeda, sidaas darteed waqtiga qaaliga ah waa abuurista, ma aha gudbinta joogtada ah.
Waxa uu generator-ku sameeyo baakad kasta
OpenSSL 3 dhexdiisa, heerka generator-ka caadiga ah waxaa laga dhisay nuqulo DRBG ah oo abuura oo mar kale abuura iyadoo waafaqsan habaynta iyo xaaladda. OpenVPN 2.6 dhexdiisa dariiqa xogta AEAD wuxuu nonce-kiisa ka soo saaraa lambarka isku xigxiga ee baakadda oo lagu daray qiime qarsoon oo kalfadhi kasta, halka dariiqa CBC ee hore uu baakad kasta u soo qaato IV u eg mid random ah. Midkoodna qaababka ma taageero qaanuunka ah in dhaqaajinta gigabyte ay isticmaasho gigabyte qaylo cusub oo kernel ah. Labaduba waxay taageeraan fikradda ah in abuurista furayaasha iyo gacan-qaadista ay yihiin meesha abuuristu muhiim tahay.
Kiiska CBC waa in la magacaabaa sababtoo ah wuxuu u eg yahay khuraafaadka oo ma aha: IV-da baakad kasta waxay ka timaaddaa generator-ka maktabadda iyadoo raacda jadwalka dib-u-abuurista maktabadda lafteeda, waligeed kama timaaddo wicitaan kernel ah baakad kasta. Marka qof sheegto kharashka entropy baad kasta, weydii nooca maktabadda iyo dariiqa koodka ee la cabbiray.
Xaggee ayaa sugitaanku run ahaantii muuqdaa
Calaamadaha waqtiga dhig ku wareegsan marxaladaha, ma aha kalfadhiga: bilow, xaqiijin, beddelka furaha iyo gudbin. Sugitaanka ka hor inta tunnel-ku noqdo mid la isticmaali karo waa cabasho ka duwan heerka joogtada ah ee hooseeya, oo midkood oo keliya ayaa tilmaamaya randomnimo. Linux dhexdiisa codsi getrandom() caadi ah ayaa laga yaabaa inuu xannibo ilaa isha random ee kernel-ka la bilaabo, taas ayaa sabab u ah nooca boot-ka ee dhibaatadan inuu dhab yahay mishiinnada virtual-ka iyo looxyada lagu dhex daray ee bilowga wax yar u haysta quudinta barkadda.
| Marxalad | Waxa la fulinayo | Akhriska macnaheedu yahay sugitaan | Akhriska macnaheedu yahay awood gudbin |
|---|---|---|---|
| Boot, ka hor tunnel kasta | systemd-analyze critical-chain | unug fadhiya ilbiriqsiyo ka hor bilowga tunnel-ka | ma khuseyso, wali waxba lama gudbinayo |
| Gacan-qaadis | journalctl -u openvpn-server@server -b | faraq dheer ka hor inta taxanaha bilowga uusan dhammaan | ma khuseyso, tunnel-ku kor ma aha |
| Gudbin la aasaasay | ss -tin agtiisa sar -n DEV 1 | habraac xanniban oo leh safaf socket ah oo madhan | safaf buuxa, dib-u-dirid iyo hal dun oo mashquul ah |
Laba amar oo jaban ayaa ka tirsan bilowga ururintaas, oo waxay xalliyaan su'aalaha fudud ka hor inta shaxda loo baahnayn. Tirakoobka ay akhriyaan waa xisaabinta entropy, ma aha mitirka ballaca band, oo hal sawir ma tusi karo in habraac xanniban yahay, inta uu sugay ama interface kee ay wacdo maktabaddiisu. Muunad la qaato ka dib soo kabashada ayaa badanaa si buuxda u seegta joogitaanka, sidaas darteed nooca kernel-ka ku hay agtiisa akhriska.
cat /proc/sys/kernel/random/entropy_avail
uname -rIsku waafaji hagaajinta akhriska
Haddii kernel-ku run ahaantii sugayo bilow, eeg dariiqa abuurista ee ay taageerto platform-ka, ma aha tunnel-ka. Mishiin virtual ah waxaa la siin karaa qalab random ah oo uu bixiyo martigeliyaha, sida virtio-rng, iyo diyaarinta sawirka ayaa muhiim ah sababtoo ah abuur la koobiyeeyay isagoo aan isbeddelin oo galay marti badan ma aha bilow madax-bannaan. Haddii maktabad soo sheegto guuldarrooyin abuurista ka dib boot-ka, baadh isha loo habeeyay iyo habdhaqanka bixiyaha halkii aad beddeli lahayd dejinta kernel-ka.
ss -tin dst 203.0.113.7
sar -n DEV 1 5Dukumeentiga generator-ka OpenSSL wuxuu sharraxayaa sida heerkani u helo gelinta iyo goorta dib-u-abuuristu dhacdo, taas oo ah sheegasho aad uga cidhiidhi ah khuraafaadka oo keliya khuseeya hirgelintaas. Daemon-ka entropy ma aha hagaajin xawaare oo caalami ah, oo rakibiddiisa si tirakoobku u koro waxay beddelaysaa malo ammaan ah iyadoo aan muujin dib-u-dhic. Awoodda gudbinta, raac dariiqa xogta: hal dun oo buuxsamay, dib-u-dirid, lumis dibadeed iyo dhicidda safafka mid kastaa wuxuu u baahan yahay hagaajin kale, oo cabbirrada buffer-ka waxay wax ka qabtaan buffer-ka socket oo leh caddaynta safkeeda gaar ah.