OpenVPN tls-ciphersuites iyo tls-version-min: mid kastaa maxuu dhaqan geliyaa

Saddex xaqiiqo oo kala duwan ayaa lagu soo koobaa hal saf oo ku yaal inta badan doodaha OpenVPN ee TLS: waxa uu sameyn karo dhiska macmiilkaaga, waxa uu oggolaaday profile-ka iyo waxa ay session-ku dhab ahaan ka wada hadleen. Liis gaaban oo suites TLS 1.3 ah ayaa kaliya nus ka jawaabaya su'aasha dhexe, waxna kama sheegto xadka hoose ee nooca borotokoolka. Mar kontoroolada hoos ku qoran si kala duwan oo isku xigta, kana joog midda ugu horreysa ee aan taagnaan, sababtoo ah kontorool kasta oo xiga wuxuu u malaynayaa in kuwii hore la xalliyay.

Kontorool dhiska ka hor inta aadan akhrin liis kasta

Amarrada isku-dubbaridka ma kordhin karaan taageerada borotokoolka fayl binary ah oo aan haysan. Ku bilow bannerka nooca, kaas oo magacaabaya maktabadda crypto ee la soo ururiyay:

openvpn --version

Dhiska 2.6 ee ku xiran OpenSSL wuxuu aqbalaa labadaba tls-cipher iyo tls-ciphersuites. Dhiska mbed TLS ma laha wax doorasho suites TLS 1.3 ah, handbook-ka 2.6-na wuxuu tls-ciphersuites u calaamadeeyaa ikhtiyaar OpenSSL. Haddii server-ka lagu dib u dhiso backend kale, isla profile-kaas wuxuu beddeli karaa dhaqankiisa iyada oo aan hal saf oo isku-dubbaridka ah isbeddelin.

Inta aad halkaan joogto, orod openvpn --show-tls oo kaydi wax-soo-saarka. Waa liiska alaabta aad mar dambe la barbardhigi doonto, waana jaban in la qabto ka hor inta qof uusan bilaabin tafatirka profile-yada.

Ku qor bannerka iyo liiska tigidhka isbeddelka, ma aha daaqadda wada-hadalka. Marka laba qof ay ka doodaan haddii macmiilku lix toddobaad kadib soo bandhigi karo suite, wax-soo-saarka la qabtay ayaa taas hal saf ku go'aamiya.

Xadka nooca ka sooc liisaska sifer-ka

Gudaha handbook-ka 2.6 kuwani waa saddex kontorool, ma aha mid:

• tls-cipher wuxuu dejiyaa siyaasadda sifer-ka TLS 1.2 iyo kuwii ka horreeyay, waxaana loo gudbiyaa liiska sifer-ka OpenSSL;
• tls-ciphersuites wuxuu dooranayaa suites TLS 1.3;
• tls-version-min iyo tls-version-max waxay xaddidaan noocyada borotokoolka ee isku xirka isticmaali karo.

Marka liis suites TLS 1.3 oo si taxadar leh loo gooyay waxba ma caddeynayso in nooca hore weli la oggol yahay. Haddii shuruuddu tahay «TLS 1.3 kaliya», xadka hoose ee nooca ayaa qaadaya, liiska suites-na wuxuu kaliya cidhiidhiyaa doorashooyinka xadkaas gudihiisa:

tls-version-min 1.3
tls-ciphersuites TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256

Lammaanahaas waxay qabtaan laba shaqo. Tirtiridda mid ka mid ah safyada waxay ka tagtaa kan kale inuu dhaqan geliyo wax ka yar inta aad u malaynayso, taasna waa cilladda ay kontoroolkani dhammaantiis u jirto inuu qabto.

Kanaalka xogta waa kontoroolka afaraad. data-ciphers wuxuu ka wada hadlaa sifer-ka simmetrical-ka gudaha tunnel-ka, natiijadiisuna wax kama sheegto nooca TLS ee kanaalka kontoroolka. Aragtida AES-256-GCM ee soo-koobka session-ka ma aha caddayn ku saabsan TLS 1.3 dhinac kasta.

U akhri show-tls sida liis alaabta maxalliga ah

--show-tls wuxuu taxaa suites-ka ay taageerto maktabadda crypto ee faylkan binary-ga ku xiran, iyada oo la raacayo nidaamka mudnaanta. Ma aha warbixin ka timid gateway-ga. Handbook-ku wuxuu si cad u sheegayaa in liisku ka yimaado maktabadda maxalliga ah, taas oo macnaheedu yahay in laptop leh OpenSSL 3.x iyo router leh dhis hore ay daabici doonaan liisas kala duwan iyagoo la hadlaya isla server-kaas.

Ka soo qaad in macmiilku taageero suites A, B iyo C oo ay hal session doorato B. Taasi waxba ma caddaynayso in server-ku oggol yahay A ama C, iyo in B uu yahay doorashadiisa kaliya ee la oggol yahay. Saddexda saf ka sooc, oo inta badan doodaha TLS ee jahawareerka ah ayaa iskood u xallin doona.

Liiska alaabta wali waa qiimo in la hayo. Marka session-ku guuldareysto, isbarbardhigga liiska maktabadda iyo liiska profile-ka waxay kuu sheegaysaa in macmiilku uu fursad u lahaa inuu soo bandhigo waxa server-ku rabay. Waxay kaloo muujinaysaa in isbeddel backend ah uu si aamusnaan ah uga saaray TLS_CHACHA20_POLY1305_SHA256 kooxda ay ku tiirsan yihiin macmiillada hore — noocaas regression-ka oo u muuqda dhawr isticmaalayaal oo isku xiri kari waayay inta qof walba aanu waxba ogaan.

Weydii gateway-ga wax uu ka jawaabi karo

Haddii aad maamusho adeegga, baadh isku-dubbaridka wax-ku-oolka ah ee instance-ka socda halkii aad ka baadhi lahayd fayl disk-ka ku yaal. OpenVPN waxaa laga yaabaa in lagu bilaabay waddo --config kale, inuu soo jiito kuwa lagu daray, iyo in aan dib loo bilaabin tan iyo tafatirka. Siyaasadda daemon-ka socda ayaa ah waxa macmiilladu la kulmaan.

Haddii aadan maamulin, weydii hawlwadeenka shuruudaha macmiilka la taageeray ama imtixaan aqbalid xaddidan. Isku-day la diiday si otomaatig ah ma aha suite la diiday: xadka hoose ee nooca, hubinta aqoonsiga shahaadada sida remote-cert-tls, ama is-khilaafka u dhexeeya tls-auth iyo tls-crypt ayaa dhammayn kara is-weydaarsiga ka hor inta doorashada suite aysan muhiim noqon. Akhri qaladka server-ka ka hor inta aadan beddelin liiska macmiilka, sababtoo ah «handshake failed» wuxuu daboolaa afar sababood oo kala duwan oo kaliya midkood ayaa ah is-khilaafka sifer-ka.

U jeedinta openssl s_client dekedda VPN sidoo kale ma soo saarto su'aasha. Kanaalka kontoroolka wuxuu ku socdaa gudaha frame-ka OpenVPN laftiisa, marka probe TLS ceyriin ah wuxuu tijaabiyaa borotokool kale deked ku sugaysa wax kale. Gabagabo kasta oo laga soo saaro waxay ku saabsan tahay probe-ka, ma aha tunnel-ka.

Diiwaangeli laba natiijo oo kala sooc

Session cusub oo la oggol yahay wuxuu soo saaraa saf kanaalka kontoroolka oo sheegaya nooca borotokoolka iyo sifer-ka la doortay, iyo saf gaar ah oo kanaalka xogta ah oo sheegaya sifer-ka tunnel-ka. Qabo labadaba iyada oo la raacayo nooca macmiilka iyo magaca profile-ka, oo qor instance-ka server-ka ee jawaabay:

openvpn --config office.ovpn --verb 4 2>&1 | tee session.txt

Kadib akhri labada saf faylkaas, ma aha xusuusta. Lammaanuhu waa caddaynta; magaca suite oo kaliya waa mudnaan, xadka noocuna waa bayaan gaar ah oo ku saabsan waxa server-ku diido.

Samee kontoroolada sida ay isku xigaan. Xaqiiji dhiska iyo backend-ka --version. Qabo --show-tls ka hor inta aadan wax beddelin. Sheeg xadka hoose ee nooca loo baahan yahay si ka duwan liiska suites. Xaqiiji siyaasadda wax-ku-oolka ah ee instance-ka socda iyo mulkiilaha. Fiiri hal session oo la oggol yahay iyo, haddii qorshuhu oggolaado, hal isku-day oo la diiday oo nooc hore leh. Diiwaangeli natiijooyinka kanaalka kontoroolka iyo kanaalka xogta sida natiijooyin gaar ah.

Haddii macmiil loo baahan yahay uusan dhamaystiri karin heerka ugu yar ee cusub, gaar ahaan qaado go'aanka guuritaanka ama ka-reebistaas, halkii aad si aamusnaan ah hoos u dhigto qaanuun aqbalid oo aan la xiriirin si furitaanku u muuqdo mid dhammaaday.