Khaladka sirta TLS ee OpenVPN: marka hore isbarbar dhig labada dhinac

Khaladka «ma jiro sir la wadaago» waxa uu u eg yahay hal dejineed oo la beddelo, dejinta dadka badankood beddelaana waa tan khaldan. OpenVPN waxa uu hayaa siyaabado gooni ah kanaalka xakamaynta ee sameeya gacan-qabsiga TLS iyo kanaalka xogta ee xambaara baakadaha gudaha tunnel-ka, khaladkuna waxa uu sheegaa kan ugu horreeya halka dadku ay wax ka beddelayaan kan labaad. In la isbarbar dhigo waxa dhinac kastu ogolaado, sida ugu habboon, ayaa mala-awaalka u beddela laba ama saddex go'aan: nooca, ka dib liiska suudyada, ka dib aqoonsiga.

Haddii aad khaladto kana, waxaad lumin kartaa saacad ku darista magac AES liis aan waligiis la eegin.

Laba liis oo sir ah, oo mid keliya ayaa jebiya gacan-qabsiga

Kanaalka xakamaynta waxa uu ka wada-hadlaa fadhi TLS, siyaasaddiisana waxa lagu qoraa tls-cipher loogu talagalay TLS 1.2 iyo tls-ciphersuites loogu talagalay TLS 1.3. Kanaalka xogta si gooni ah ayaa loogu habeeyaa data-ciphers, halkaas oo isku-dhac uu dhaliyo xiriir la aasaasay oo markaas aan mari karin taraafikada. Labaduba waxa ay bixiyaan khaladaad sheega sirta, taas ayaa sababta loo khaldo. Gacan-qabsiga aan waligiis dhammaanin waxa uu tilmaamaa kanaalka xakamaynta, halka tunnel la aasaasay oo baakadaha tuuraya uu tilmaamo kanaalka xogta.

Akhri fariinta oo dhan, ma aha sadarka koowaad. Isku-dhac nooc, suud maqan, algorithm saxeex shahaado oo dhinacu diido, iyo guuldarro xaqiijin magac martigeliyaha dhammaantood waxa ay ku dhammaadaan khalad TLS, oo mid keliya ayaa khuseeya liiska suudyadaada. Kala saarista qaybahaan ayaa ah inta badan baaritaanka.

Isbarbar dhig noocyada ka hor inta aanad isbarbar dhigin suudyada

Dhinac ku xaddidan TLS 1.2 iyo dhinac u baahan 1.3 ma wadaagaan nooc, oo ma jiro xarig sir oo taas buuxiya. Qor tls-version-min iyo tls-version-max labada dhinac, ama qiyamka caadiga ah ee dhismayaasha la isticmaalayo, sababtoo ah siyaasadda OpenSSL ee qaybin waxa ay kordhin kartaa hooska iyada oo aan ikhtiyaar OpenVPN ah sheegin. Haddii dhinac ka mid ah uu yahay qalab ama macmiil dhinac saddexaad, daaqaddiisu waa waxa firmware-kiisu ogolaado. Kaliya marka daaqadahu is-dhaafaan ayaa isbarbardhigga suudyada macne yeelanaa.

Diiwaannadaas waa in ay sidoo kale sheegaan faaylasha binary-ga dhabta ah. openvpn khadka amarka ee laptop-kaaga ma aha daruuri macmiilka maamula profile la soo dhoofiyay.

Liisaska TLS 1.2 iyo TLS 1.3 isku qasan ma noqdaan

Magacyada suudyada TLS 1.2 waxa ay u eg yihiin ECDHE-RSA-AES256-GCM-SHA384 oo waxa ay ka tirsan yihiin tls-cipher, kaas oo aqbala xarigga sirta OpenSSL. Suudyada TLS 1.3 waxa loo yaqaan TLS_AES_256_GCM_SHA384 oo waxa ay ka tirsan yihiin tls-ciphersuites; mid ku darista xarigga 1.2 ma habeyso liiska 1.3, parser-kuna waxa uu aqbali karaa qoraalka isaga oo aan waligiis isbarbar dhigin. Shaandhayn sax ah nooc keliya waxba kama sheegto kan kale. Qor liiska kee loogu talagalay nooca kee.

openvpn --show-tls waxa uu daabacaa waxa dhismaha maxalliga ahi taageero, taasna waa liis ma aha ballan: dhinaca fog laga yaabee in aanu ogolaan suudyadaas, profile-ka firfircoonna laga yaabee in aanu shidin. U isticmaal in aad ka saarto dhismo aan wax suud ah bixin karin, ka dibna isbarbar dhig liisaska la habeeyay.

Ku caddee wada-hadalka xiriir cusub

Gacan-qabsi guulaystay ayaa ah caddaynta keliya ee la tixgalinayo, waana in uu ka yimaado macmiilka dhabta ah oo leh profile dhab ah. Kordhi faahfaahinta server-ka, isku xir hal mar, oo ka akhri log-ga nooca borotokoolka iyo suudda la wada-hadlay halkii aad ka malayn lahayd in qiimaha ugu horreeya ee la soo bandhigay guuleystay. Ka dib si gooni ah u xaqiiji kanaalka xogta taraafikada tunnel-ka, sababtoo ah gacan-qabsi shaqeeya iyo kanaal xog oo guuldarraysta waa dayactirro kala duwan. Ku celi isbeddel kasta oo habayn ka dib, sababtoo ah profile macmiil duugoobay waa natiijo been-abuur ah oo caadi ah.

Haddii aanu jirin habayn wadaag ah oo la ansixiyay, jawaabtu waa casriyayn ama qorshe guurin, ma aha siyaasad la daciifiyay. tls-version-min hoos u dhigista, daminta xaqiijinta ama daalinta dhammaan suudyada duugga ah waxa ay meesha ka saartaa diidmada iyada oo aan buuxin shuruudda ammaanka ee abuurtay.

Ku qor tigidhka isbeddelka nooca la wada-hadlay, suudda iyo sirta xogta. Qofka xiga ee la kulma khalad TLS waxa uu ka bilaabayaa diiwaankaas, ee ma aha xarig sir laga helay bogga doodaha.