Како OpenVPN data-ciphers бира шифру податковног канала

Тунел се подиже, лог приказује шифру и преглед профила иде даље. Затим стигне надоградња на једној страни и исти профил пада уз поруку да нема заједничке шифре, што шаље људе у лов на директиву коју треба обрисати. Корисно је разумети да data-ciphers описује преговарање, а не поставку. Једна страна нуди листу, друга бира из ње, а резултат је један алгоритам који обе подржавају. Читање те размене објашњава већину ових кварова пре него што промените и једну линију.

Два канала, две конфигурације

Једна OpenVPN сесија има контролни канал и податковни канал. Контролни канал води TLS руковање које аутентификује партнере и договара кључеве. Податковни канал шифрује пакете који носе ваш саобраћај.

data-ciphers конфигурише други. Контролни канал има сопствене опције, а провере идентитета профила су трећа, одвојена ствар. Промена на једном не поправља друго, због чега профил може изгледати исправно и ипак пасти у одређеној фази.

Држите та три у одвојеним кутијама кад читате конфигурациону датотеку.

Прочитајте преговарање из лога

Клијентски лог наводи оба резултата кад веза успе. Један ред извештава о контролном каналу и његовим TLS детаљима, а други о изабраној шифри податковног канала.

Прочитајте оба, јер одговарају на различита питања. Неуспех контролног канала зауставља везу пре него што иједна податковна шифра постане важна. Несклад податковног канала појављује се после успешног руковања, уз поруку да нема заједничке шифре.

Затим упоредите понуђене листе на обе стране. Име које верзија једног партнера или његов крипто слој не пружа не може се изабрати, без обзира на то колико се рано појављује на листи другог партнера.

Како избор заправо функционише

Сервер гура своју data-ciphers листу клијенту током руковања, а клијент бира први унос на тој листи који и сам подржава. Редослед стога припада конфигурацији сервера, а не клијента.

Тај детаљ објашњава класу збуњујућих резултата. Промена редоследа клијентске листе не мења ништа док одлучује серверска листа. Додавање шифре коју клијент не може да пружи такође не мења ништа, јер клијент мора моћи да користи унос који изабере.

Новија издања променила су подразумевану листу и преименовала опцију која ју је држала, па се два партнера на различитим верзијама могу не слагати без да ико уређује профил. Проверите верзију на свакој страни пре него што претпоставите штампарску грешку.

Листа није рангирање снаге у апстрактном смислу. То је скуп кандидата, а изабрани је први узајамно подржани унос у редоследу сервера. Зато две листе које изгледају различито могу договорити исту шифру. Зато и две листе које изгледају идентично могу пасти.

Старији партнери требају намерну резервну опцију

Партнер који уопште не може да преговара, јер је старији од механизма или га је искључио, треба документован аранжман компатибилности. Резервна опција постоји управо за тај случај и примењује се на партнере који не учествују у преговарању.

То није исто као омогућавање сваке наслеђене шифре да би порука нестала. Широка листа слаби сесију за сваког партнера, укључујући оне који би договорили нешто јако.

Ускладите две стране уместо да уређујете неповезана имена алгоритама. Ако је надоградња сервера уклонила стару опцију, поправка припада плану верзија, а не ужурбаној акцији на клијенту.

Сачувајте проверу нетакнутом

Несклад податковног канала није разлог да прихватите непроверени сервер. Провера сертификата, очекивано име сервера и поставке заштите контролног канала одвојени су од избора шифре и требало би да преживе сваку промену компатибилности.

Забележите договорену податковну шифру, верзију клијента и верзију сервера заједно, да следеће поређење почне од чињеница, а не од датотеке профила.

После подржане поправке испробајте почетну везу и поновно преговарање, јер сесија која се једном успостави ипак може пасти кад се кључеви обнове.

Ако се тунел успостави, а сајтови и даље не раде, шифра више није осумњичена. Наставите са рутирањем и DNS-ом. Редослед рада: прочитајте оба реда лога, упоредите обе листе, проверите верзије, додајте резервну опцију само партнеру који је треба, па поново тестирајте пут обнове.