Неуспешна провера HMAC пакета OpenVPN: који слој?

Два квара пријављују се истим речником и немају готово ништа заједничко. Један је пакет чија ознака провере није потврђена; други је особа чије су акредитиве одбијене. Ако прво третирате као друго, тражите лозинку која никада није била проблем.

Порука именује слој, а користан посао је одредити који је слој пре замене било ког материјала. Поређење кандидата једно уз друго најбржи је начин да видите разлику.

Два квара која деле реч

Грешка провере пакета јавља се током обраде саобраћаја: ознака или сажетак на примљеном пакету није се поклопио с оним што је прималац израчунао. Одбијање налога дешава се након што се обради пријавна размена и именује корисника, а не пакет. Трећа порука, о томе да HMAC није могуће наћи у долазном пакету, опет је другачија, јер је тамо пакет стигао потпуно без очекиваног елемента провере. Цео префикс дневника каже који од та три имате, а управо се префикс обично први уклони када се грешка налепи у тикет.

Разлика мења поправку. Једно тражи усклађена подешавања канала, друго стање налога, а треће профил који се не поклапа са слушаоцем до којег је стигао.

Упоредите шта је покренути процес стварно учитао

Исправна датотека на диску ништа не доказује о процесу који је почео пре него што је уређена. Проверите изабрани профил, крајњу тачку с којом се повезао и да ли је услуга поново учитана од измене. Потврдите и да крајња тачка припада профилу, јер на месту где стара датотека очекује нешто друго може да слуша друга инстанца или друга услуга.

Поновни извоз подржаног профила из истог извора је јефтино поређење, јер уклања разлику између онога што мислите да је подешено и онога што клијент заиста шаље. Стварање новог кључног материјала је много већи корак и помаже само ако га обе стране усвоје заједно. Замена једне стране локално поново ствара неслагање које сте покушавали да уклоните.

Упоредите контролни канал са податковним каналом

Два механизма проверавају различите делове везе и подешавају се одвојено, као што описује референца опција 2.6. tls-auth додаје HMAC пакетима контролног канала и узима аргумент смера који мора бити супротан на обе стране, док tls-crypt штити контролни канал заједничким кључем. Ниједан није сопствена провера интегритета податковног канала. Код AEAD податковне шифре та провера је уграђена у шифру, па се засебни сажетак auth не користи као код шифре која није AEAD.

То значи да линија auth прекопирана из исправног распореда без AEAD може бити неважна у AEAD распореду, а AEAD распоред ипак може да не успе на контролном каналу ако је кључ tls-auth или његов смер погрешан. Упоредите свако подешавање са другом страном, а не са запамћеном конфигурацијом.

Упоредите поправку са својством којег се одричете

Искључивање провере пакета утишава упозорење и уклања проверу која је нашла неслагање, што није исто као поправка профила. Питајте којег се својства одричете и да ли пројекат и даље стоји без њега.

Прочитајте први релевантни догађај на обе стране пре било какве измене, затим промените само неслагање које именује.

Ако следећи покушај напредује до грешке сертификата или пријаве, то је напредак, а не регрес: слој пакета се сада слаже и веза је отишла даље. Забележите подешавања која су изазвала промену, да следећа особа наследи објашњење уместо загонетке.