OpenVPN waxa uu sii wadayaa isku dayga dib u eegis kadib khalad TLS: sida loo joojiyo

Macmiilku wuu isku xiraa, wuu ku guuldareystaa inta lagu jiro wada-hadalka TLS, wuu sugayaa oo isku dayaa isla server-kaas isla natiijadaas. Ilaaliye dib u bilaaba habsocod guuldareystay hoostiisa, isku daygaas waxa uu noqdaa wareeg aan dhammaad lahayn diiwaanka, oo sadarka ugu horreeya ee baaritaanka waa ka baxaa gaaritaanka. OpenVPN waxa uu bixiyaa ikhtiyaar u beddela guuldareystaas wada-hadalka baxniin muuqata halkii isku day kale. Kani waa dejinta baaritaan iyo ilaalin, ma aha hagaajin, sidaas darteed ku xidh siyaasad run ahaantii u oggolaanaysa habsocodka inuu hoos joogo.

Wareegga qariya khaladaadka ugu horreeya

Waxa aad aragto ma aha hal guuldareysta, ee waa qayb soo noqnoqota: isku day isku xir, khalad TLS, hakad iyo ka dib isla taxanahaas. Soo noqnoq kastaa waxa uu sadarka asalka ah u riixaa ka sii sarreeya diiwaanka. Haddii unuggu dib u bilaabmo marka uu guuldareysto, wareeggu wuu sii socon karaa saacado iyada oo aan cidna akhrin sababta. Calaamaddu waa wareegga, in kasta oo cilladda asaasiga ah ay tahay hal dhibaato wada-hadal.

Fadhiyada is-dhexgalka waxa ay u dulqaataan tan sababtoo ah guuldareysta ku meel gaar ah ayaa laga yaabaa inuu ka baxo isku dayga xiga. Isku xirka otomaatiga ah ma awoodaan inay qaataan isla rajo-wanaaggaas: habsocodku waa inuu istaago si qof ama kormeere uu u arko xaaladda.

Ka hor intaadan wax beddelin, qabso hal wareeg oo buuxa. Qor cinwaanka fog, marxaladda TLS ee lagu sheegay khaladka iyo haddii habsocodku gabi ahaanba baxo.

Mishiinka isku dayga dib u eegista ee ka dambeeya wareegga

Dib u tijaabin waa caadi sababtoo ah dhowr waqti-dhaaf ah oo aan xiriir la lahayn ayaa wadaaga isla mishiinka. connect-retry waxa uu dejiyaa farqiga u dhexeeya isku dayga isku xirka, connect-retry-max waxa uu xaddidi karaa inta jeer ee la tijaabiyo gelitaan kasta oo fog, iyo resolv-retry waxa uu maamulaa raadinta magacyada soo noqnoqota. Guuldareysta wada-hadalka TLS waxa uu mishiinkaan gaaraa dhacdo gaadiid ahaan, sidaas darteed macmiilku waxa uu qorsheeyaa isku day kale halkii uu ka wargelin lahaa. Qiimaha caadiga ah waxa uu caawiyaa xiriir aan degganayn oo waxa uu wax yeelaa cillad aan la bogsiin karin.

Ikhtiyaarka --tls-exit waxa uu beddelaa oo kaliya kiiska wada-hadalka. Buug-gacmeedku waxa uu ku qeexaa baxniin marka wada-hadalka TLS guuldareysto, taas oo ka cidhiidhisan baxniinta khalad kasta. Waqti-dhaafka, guuldareysta xalliyaha iyo diidmada aqoonsiga waxa ay hayaan dabeecaddooda.

Ka dhig macmiilka inuu baxo marka TLS guuldareysto

Ku dhig tls-exit borotokoolka uu macmiilku run ahaantii rarto, ama bixi --tls-exit marka aad bilaabayso, oo hal mar ku socodsii hortiisa. Akhri xaaladda baxniinta iyo sadarka ugu dambeeya ee diiwaanka, sababtoo ah ilaaliyuhu waxa uu ku shaqeeyaa xaaladda. Baxniin aan eber ahayn kadib guuldareysta wada-hadalka waa natiijada la rabo. Haddii habsocodku sii wado isku dayga halkii uu dhammaan lahaa, ikhtiyaarku kuma jiro borotokoolka uu macmiilku run ahaantii rarto.

Ilaaliyuhu waxa uu go'aamiyaa haddii baxniintaas la arki karo. Unug systemd oo leh Restart=always ama Restart=on-failure waxa uu dib u bilaabaa macmiilka, sidaas darteed wareeggu wuu sii socdaa oo ikhtiyaarku waxa uu u muuqdaa mid aan waxba qaban. Hubi siyaasadda ka hor intaadan macmiilka eedayn:

systemctl show -p Restart -p RestartSec openvpn-client@office
journalctl -u openvpn-client@office -n 40 --no-pager

Restart=no waxa uu u oggolaanayaa habsocodka inuu hoos joogo, Restart=on-failure waxa uu haddana dib u bilaabaa kadib xaalad aan eber ahayn. Haddii aad rabto in guuldareysta muuqato laakiin adeeggu ka soo kabsado burbur aan xiriir la lahayn, dhig Restart=on-failure oo isticmaal StartLimitBurst iyo StartLimitIntervalSec si aad u joojiso duufaanta dib u bilaabista. Kadib akhri xaaladda unugga si aad u xaqiijiso koodhka baxniinta ugu dambeeya: systemctl status waxa uu soo sheegaa, diiwaankuna waxa uu hayaa khaladka ugu horreeya ka sarreeya dib u bilaabista.

Qor go'aanka unugga ama qoraallada borotokoolka. Borotokoolka ku baxa guuldareysta TLS waxa uu qofka xiga u muuqdaa shil haddii sababta aan la diiwaangelin. Sheeg guuldareysta ay tahay inay joojiyaan habsocodka iyo kuwa dib loo tijaabiyo.

Ku caddee barta ugu dambeeya ee hal-isticmaal

Si aad u aragto dabeecadda ka hor intaadan ku kalsoonaan, koobi borotokoolka oo u jeedi koobiga barta ugu dambeeya oo aqbasha xiriirka TCP laakiin aan waligii ku hadlin OpenVPN. Ku filan yahay dhageyste jawaaba oo haddana aamusa. tls-exit la socota, macmiilku waa inuu dhammaadaa marka is-gacan-qabsiga guuldareysto; la'aanteed isla borotokoolkaas waa inuu sii wareegaa. Isticmaal koobiga, waligaa ha isticmaalin borotokoolka shaqeeya.

Isbarbardhig labada orod xaaladda baxniinta iyo sadarka ugu horreeya ee khaladka, ma aha inta ay kasta oo mid kastaa socday. Xaaladdu waxa ay sheegtaa haddii ikhtiyaarku shidmay, sadarka ugu horreeyana waxa uu sheegaa marxaladdee guuldareystay.

Ka saar borotokoolka tijaabada marka aad dhamaysato. Koobi leh barta ugu dambeeya oo si ula kac ah khaldan waa dabin qof kasta oo hadhow bilaaba borotokool kasta oo ku jira galka.

Marxaladaha uu ikhtiyaarkaan waligii gaari waayo

Diidmada aqoonsigu waa marxalad dambe. Haddii serverku qiimeeyo akoonka oo diido, TLS hore ayaa loo wada hadlay, sidaas darteed tls-exit ma shidmo. Dejinta dib u tijaabinta aqoonsiga waa meesha xigta ee la eegayo, sababta serverkuna waxa ay ka muhiimsan tahay sadarka ugu dambeeya ee macmiilka. Furaha sirta ah ee khaldan iyo shahaadada maqan waxa ay dhalin karaan fariimo isku mid ah dhinaca macmiilka.

Waddo maqan, xalliye khaldan ama albaab aan la gaari karin ayaa sidoo kale ka baxsan ikhtiyaarka, sababtoo ah ma aha guuldareysta wada-hadal. Luminta baakadaha aamusan waa kiiska ugu muuqda yar: iyada oo ku xidhan inta ay is-dhaafsiga socotay, macmiilku waxa uu soo sheegi karaa guuldareysta wada-hadal ama si fudud waqti uu ka baxaa.

Ku hay farqiga qoraalladaada. Dejintu waa baaritaan iyo ilaalin halkii ay hagaajin ahaan lahaan lahayd, sidaas darteed ma hagaajiso isku-dhafnaan la'aanta sifer, dhibaato shahaado ama deked khaldan. Marka hore hagaaji sababta wada-hadalka guuldareystay, kadib go'aanso haddii baxniinta degdegga ah ay weli ku habboon tahay geynta.