Faili ya DH au ufunguo wa tls-auth? Kutofautisha faili mbili za OpenVPN

Faili mbili, maelekezo mawili, na tabia ya kuzipa majina yote kwa kile zinachokisanidi. Ndivyo dh.pem inavyoishia kwenye mstari wa tls-auth na mteja ashindwe na ujumbe kuhusu umbo la ufunguo lisilotarajiwa. Uamuzi ulio mbele yako si faili ipi iliyo na nguvu zaidi. Ni jukumu lipi ambalo usambazaji unahitaji kwa kweli, na masharti matatu huamua hilo: ubadilishanaji upi wa funguo ambao tabaka lako la TLS litajadili, kama unataka uthibitishaji wa kituo cha udhibiti, na kama nyenzo lazima ibaki kuwa siri.

Yajibu kwa mpangilio na swali la faili litajijibu lenyewe. Ukiyapuuza, majina ya maelekezo yanaanza kuonekana yanayoweza kubadilishana, na ndiyo hali ambayo kosa linatoka.

Soma lebo kabla ya jina la faili

Mstari wa kwanza wa faili unatoa habari zaidi kuliko jina lake, kwa sababu jina ni desturi ya kibinadamu wakati lebo hutengenezwa na chombo. Vigezo vya Diffie-Hellman hubeba lebo ya PEM BEGIN DH PARAMETERS. Ufunguo tuli wa OpenVPN ni muundo tofauti kabisa, na kichwa chake na mzigo wake wa heksadesimali.

Kubadilisha jina hakubadilishi kitu. Faili ya vigezo yenye jina ta.key bado ni vigezo, na ufunguo tuli wenye jina dh.pem bado ni ufunguo tuli; kichanganuzi husoma yaliyomo na kukataa kutokulingana. Hakiki kabla ya kuhariri wasifu:

head -n 1 dh.pem
head -n 1 ta.key

Masharti matatu yanayoamua faili gani unahitaji

Sharti la kwanza ni ubadilishanaji. Ushikaji mkono wa Diffie-Hellman katika uwanja wenye kikomo unahitaji kundi, na maelekezo ya dh ni mahali ambapo seva inataja vigezo vyake. Ushikaji mkono wa mkunjo duara hauhitaji faili hiyo kabisa, kwa sababu mkunjo wenyewe ndio seti ya vigezo. Ikiwa seva yako inajadili seti za ECDHE pekee, faili ya DH ni mzigo uliokufa na si nguvu ya ziada.

Sharti la pili ni uthibitishaji wa kituo cha udhibiti, kipengele tofauti chenye nyenzo yake. Faili ya tls-auth ni ufunguo tuli unaoshirikiwa ambao pande zote mbili zinamiliki, unaotumika kutia sahihi pakiti za kituo cha udhibiti ili upande usiothibitishwa usiweze hata kumaliza ushikaji mkono. Ipo ikiwa unatumia DH ya uwanja wenye kikomo au la, na haina uhusiano wowote na vigezo vya kundi.

Sharti la tatu ni usiri na usambazaji. Vigezo vya DH vinaweza kuchapishwa bila kudhoofisha kikao, kwa sababu thamani za siri hutengenezwa kwa kila ushikaji mkono na kamwe haziachi pande. Ufunguo tuli haupaswi kuchapishwa: ni baiti zile zile katika ncha zote mbili, hauzunguki wenyewe, na yeyote anayeumiliki anaweza kutoa sahihi halali za kituo cha udhibiti. Majibu hayo mawili yanaelekeza kwa kanuni tofauti kabisa za utunzaji, ndiyo sababu faili moja inaweza kukaa kwenye hazina na nyingine isiweze.

Tengeneza nyenzo sahihi kwa kila jukumu

Tumia chombo kinachotengeneza umbo ambalo maelekezo yanatarajia badala ya kubadilisha kati yao. Kwa ufunguo unaoshirikiwa kwenye OpenVPN 2.6, umbo la aina ya kizalishaji hueleza kusudi waziwazi.

openvpn --genkey tls-auth ta.key

Amri hiyo huunda nyenzo mpya ya siri; haitengenezi au kukagua ufunguo uliopo, na kuiendesha tena hukupa ufunguo tofauti ambao pande zingine hazinao. Nakili faili inayotokana na kuipeleka kwa pande zinazohitaji kupitia chaneli ambayo ungetumia kwa siri yoyote inayoshirikiwa, na uweke desturi ya mwelekeo sawa: kwa tls-auth upande mmoja hutumia key-direction 0 na mwingine key-direction 1.

Vigezo vya DH, vinapohitajika, vinatoka kwa utengenezaji wa vigezo na si kwa kizalishaji cha funguo, na asili yake ni muhimu hata matokeo yakiwa ya umma. Kundi lililochukuliwa kutoka chanzo kisichojulikana haliwi la kuaminika kwa sababu ni la umma; bado lazima liwe kundi ambalo pande zako zinakubaliana na moja ambalo ukubwa au muundo wake hautalidhoofisha.

dh none inamaanisha nini na haimaanishi nini

dh none ni maelekezo halisi yenye maana nyembamba: hakuna faili ya vigezo vya uwanja wenye kikomo itakayopakiwa, kwa sababu ushikaji mkono unatumia Diffie-Hellman ya mkunjo duara. Si kifupi cha «ruka hatua ya DH» kwa maana ya kudhoofisha kitu, na kwa hakika haimwambii OpenVPN ikubali faili nyingine kama mbadala.

Makosa mawili yanatoka katika kuisoma vibaya. La kwanza ni kudhani dh none huondoa hitaji la tls-auth, wakati yote mawili hudhibiti mambo tofauti. La pili ni kuweka mstari wa dh uliopitwa na wakati kando ya usanidi wa mkunjo pekee kisha kujiuliza ni faili gani seva inatumia kwa kweli; ikiwa maelekezo yapo, faili husomwa, na njia iliyovunjika hapo hushindwa kuanza kwa sababu isiyohusiana na ubadilishanaji utakaojadiliwa.

Ikiwa faili isiyofaa imekwisha kupelekwa

Rejesha siri iliyokusudiwa kutoka kwa mmiliki wa wasifu na usiguse uthibitishaji wa cheti unapofanya hivyo. Kushindwa ni kutokulingana kwa umbo, si kushindwa kwa imani, na kuzima uthibitishaji ili kupita kosa hubadilisha tatizo la kuanza na tatizo la kimya.

Kisha tenganisha matukio mawili ambayo watu huwa na tabia ya kuyaunganisha. Kuchapisha faili ya vigezo vya DH ni karibu bila madhara, kwa sababu vigezo vilikuwa vya umma kwa muundo. Kufichua ufunguo wa tls-auth ni tukio jingine: ufunguo huthibitisha pakiti za kituo cha udhibiti kwa kila upande unaoumiliki, kwa hiyo uingizwaji lazima uratibiwe kote kwenye usambazaji na usitumike kwenye mwenyeji mmoja.

Ukaguzi wa dakika tano huamua uko katika kisa kipi: soma mstari wa kwanza wa kila faili, thibitisha maelekezo yanayoirejelea, na thibitisha kwamba usambazaji wa faili unalingana na kile nyenzo inahitaji. Hiyo ni kazi ndogo kuliko kutengeneza upya PKI inayofanya kazi, na ndiyo iliyokuwa ikielekezwa na masharti matatu muda wote.