Si e zgjedh OpenVPN data-ciphers shifrën e kanalit të të dhënave

Tuneli ngrihet, logu tregon një shifër dhe rishikimi i profilit vazhdon. Pastaj vjen një përditësim te një partner dhe i njëjti profil dështon me një mesazh për asnjë shifër të përbashkët, gjë që i dërgon njerëzit të kërkojnë një direktivë për ta fshirë. Gjëja e dobishme për të kuptuar është se data-ciphers përshkruan një negocim, jo një cilësim. Njëra palë ofron një listë, tjetra zgjedh prej saj, dhe rezultati është një algoritëm i vetëm që të dyja e mbështesin. Leximi i asaj shkëmbimi shpjegon shumicën e këtyre dështimeve përpara se të ndryshoni një rresht.

Dy kanale, dy konfigurime

Një OpenVPN sesion ka një kanal kontrolli dhe një kanal të dhënash. Kanali i kontrollit ekzekuton shtrëngimin e dorës TLS që vërteton partnerët dhe negocion çelësat. Kanali i të dhënave kripton paketat që mbajnë trafikun tuaj.

data-ciphers konfiguron të dytin. Kanali i kontrollit ka opsionet e veta, dhe kontrollet e identitetit të profilit janë një çështje e tretë, e veçantë. Ndryshimi i njërit nuk rregullon tjetrin, prandaj një profil mund të duket i saktë dhe gjithsesi të dështojë në një fazë të caktuar.

Mbajini të tre në kuti të veçanta kur lexoni një skedar konfigurimi.

Lexoni negocimin nga logu

Logu i klientit emërton të dy rezultatet kur lidhja ka sukses. Një rresht raporton kanalin e kontrollit dhe detajet e tij TLS, dhe një tjetër raporton shifrën e kanalit të të dhënave që u zgjodh.

Lexoni të dy, sepse përgjigjen pyetjeve të ndryshme. Një dështim i kanalit të kontrollit ndalon lidhjen përpara se ndonjë shifër e dhënash të ketë rëndësi. Një mospërputhje e kanalit të të dhënave shfaqet pas një shtrëngimi dore të suksesshëm, me një mesazh për asnjë shifër të përbashkët.

Pastaj krahasoni listat e ofruara në të dyja anët. Një emër që versioni i një partneri ose sfondi i tij kriptografik nuk e ofron nuk mund të zgjidhet, pavarësisht sa herët shfaqet në listën e partnerit tjetër.

Si ndodh në të vërtetë zgjedhja

Serveri shtyn listën e tij data-ciphers te klienti gjatë shtrëngimit të dorës, dhe klienti zgjedh hyrjen e parë në atë listë që edhe ai e mbështet. Rendi, pra, i përket konfigurimit të serverit, jo atij të klientit.

Ai detaj shpjegon një klasë rezultatesh konfuze. Rirregullimi i listës së klientit nuk ndryshon asgjë ndërsa vendos lista e serverit. Shtimi i një shifre që klienti nuk mund ta ofrojë nuk ndryshon gjithashtu asgjë, sepse klienti duhet të jetë në gjendje të përdorë hyrjen që zgjedh.

Versionet më të reja ndryshuan listën e paracaktuar dhe riemërtuan opsionin që e mbante më parë, kështu që dy partnerë në versione të ndryshme mund të mos bien dakord pa redaktuar askush një profil. Kontrolloni versionin në secilën anë përpara se të supozoni një gabim shtypi.

Një listë nuk është një renditje force në abstrakt. Është një grup kandidatësh, dhe i zgjedhuri është hyrja e parë e mbështetur reciprokisht në rendin e serverit. Kjo është arsyeja pse dy lista që duken të ndryshme mund të negociojnë të njëjtën shifër. Kjo është edhe arsyeja pse dy lista që duken identike mund të dështojnë.

Partnerët më të vjetër kanë nevojë për një rezervë të qëllimshme

Një partner që nuk mund të negociojë fare, sepse është më i vjetër se mekanizmi ose e ka çaktivizuar atë, ka nevojë për një marrëveshje përputhshmërie të dokumentuar. Opsioni rezervë ekziston pikërisht për atë rast dhe vlen për partnerët që nuk marrin pjesë në negocim.

Kjo nuk është e njëjtë me aktivizimin e çdo shifre të trashëguar për të bërë një mesazh të zhduket. Një listë e gjerë dobëson sesionin për çdo partner, përfshirë ata që do të kishin negociuar diçka të fortë.

Koordinoni dy palët në vend që të redaktoni emra algoritmesh të palidhur. Nëse një përditësim i serverit hoqi një opsion të vjetër, korrigjimi i përket planit të versioneve, jo një nxitimi te klienti.

Mbajeni verifikimin të paprekur

Një mospërputhje e kanalit të të dhënave nuk është arsye për të pranuar një server të paverifikuar. Verifikimi i certifikatës, emri i pritur i serverit dhe cilësimet e mbrojtjes së kanalit të kontrollit janë të ndara nga zgjedhja e shifrës dhe duhet t'i mbijetojnë çdo ndryshimi përputhshmërie.

Regjistroni së bashku shifrën e negociuar të të dhënave, versionin e klientit dhe versionin e serverit, në mënyrë që krahasimi i ardhshëm të nisë nga faktet dhe jo nga skedari i profilit.

Pas një korrigjimi të mbështetur, provoni lidhjen fillestare dhe një rinegocim, sepse një sesion që krijohet një herë mund të dështojë ende kur çelësat rinovohen.

Nëse tuneli krijohet dhe faqet ende dështojnë, shifra nuk është më e dyshuara. Vazhdoni me rrugëtimin dhe DNS. Rendi i punës: lexoni të dy rreshtat e logut, krahasoni të dyja listat, kontrolloni versionet, shtoni një rezervë vetëm për një partner që ka nevojë, dhe më pas ritestoni rrugën e rinovimit.