OpenVPN tls-ciphersuites dhidi ya tls-version-min: kila kimoja kinalazimisha nini

Mambo matatu tofauti yanabanishwa kuwa mstari mmoja katika majadiliano mengi ya OpenVPN TLS: kile ambacho ujenzi wa mteja wako unaweza kufanya, kile ambacho wasifu unaruhusu na kile ambacho kikao kilijadiliana kweli. Orodha fupi ya suites za TLS 1.3 hujibu nusu tu swali la kati, na haisemi chochote kuhusu kikomo cha chini cha toleo la itifaki. Pitia ukaguzi ulio hapa chini kwa mpangilio na usimame kwenye ule wa kwanza ambao haushikilii, kwa sababu kila ukaguzi unaofuata unadhani kwamba ule uliotangulia umekwisha kutatuliwa.

Kagua ujenzi kabla ya kusoma orodha yoyote

Maelekezo ya usanidi hayawezi kuongeza msaada wa itifaki kwenye faili binary ambayo haina. Anza na bango la toleo, ambalo linataja maktaba ya crypto iliyokusanywa:

openvpn --version

Ujenzi wa 2.6 uliounganishwa na OpenSSL unakubali tls-cipher na tls-ciphersuites. Ujenzi na mbed TLS hauna uteuzi wa suites za TLS 1.3 kabisa, na mwongozo wa 2.6 unaweka alama tls-ciphersuites kama chaguo la OpenSSL. Ikiwa seva itajengwa upya na backend nyingine, wasifu huo huo unaweza kubadilisha tabia yake bila mstari mmoja wa usanidi kubadilika.

Ukiwa hapa, endesha openvpn --show-tls na uhifadhi matokeo. Hiyo ndiyo orodha ya hesabu utakayolinganisha nayo baadaye, na ni rahisi kuinasa kabla mtu yeyote hajaanza kuhariri wasifu.

Andika bango na orodha kwenye tiketi ya mabadiliko, si kwenye dirisha la gumzo. Wakati watu wawili wanabishana kama mteja ataweza kutoa suite katika wiki sita, matokeo yaliyonaswa huamua hilo kwa mstari mmoja.

Tenganisha mipaka ya toleo na orodha za sifa

Katika mwongozo wa 2.6 hizi ni vidhibiti vitatu, si kimoja:

• tls-cipher huweka sera ya sifa kwa TLS 1.2 na za awali, na hupitishwa kwenye orodha ya sifa ya OpenSSL;
• tls-ciphersuites huchagua suites za TLS 1.3;
• tls-version-min na tls-version-max hupunguza matoleo ya itifaki ambayo muunganisho unaweza kutumia.

Kwa hiyo orodha ya suites za TLS 1.3 iliyopunguzwa kwa uangalifu haithibitishi chochote kuhusu toleo la zamani bado kuruhusiwa. Ikiwa hitaji ni «TLS 1.3 pekee», kikomo cha chini cha toleo ndicho kinachobeba, na orodha ya suites inapunguza tu chaguo ndani ya kikomo hicho:

tls-version-min 1.3
tls-ciphersuites TLS_AES_256_GCM_SHA384:TLS_CHACHA20_POLY1305_SHA256

Jozi hiyo hufanya kazi mbili. Kufuta mmoja wa mistari huacha mwingine ukilazimisha kidogo kuliko unavyofikiri, na hiyo ndiyo hasara ambayo ukaguzi huu wote upo ili kuinasa.

Njia ya data ni kidhibiti cha nne. data-ciphers hujadiliana sifa linganifu ndani ya handaki, na matokeo yake hayasemi chochote kuhusu toleo la TLS la njia ya udhibiti. Kuona AES-256-GCM kwenye muhtasari wa kikao si ushahidi kuhusu TLS 1.3 kwa upande wowote.

Soma show-tls kama orodha ya ndani

--show-tls huorodhesha suites zinazoungwa mkono na maktaba ya crypto ambayo faili hii binary imeunganishwa nayo, kwa mpangilio wa upendeleo. Hii si ripoti kutoka kwa lango. Mwongozo unasema wazi kwamba orodha inatoka kwenye maktaba ya ndani, ambayo ina maana kwamba kompyuta mpakato yenye OpenSSL 3.x na kipanga njia yenye ujenzi wa zamani zitachapisha orodha tofauti wakati zinazungumza na seva hiyo hiyo.

Tuseme mteja anaunga mkono suites A, B na C na kikao kimoja kinachagua B. Hilo haliweki chochote kuhusu kama seva inaruhusu A au C, wala kama B ni chaguo lake pekee linaloruhusiwa. Weka mistari mitatu tofauti, na mada nyingi za TLS zenye mkanganyiko zitajitatulia zenyewe.

Orodha bado inafaa kuhifadhiwa. Kikao kinaposhindwa, kulinganisha orodha ya maktaba na orodha ya wasifu hukuambia kama mteja alikuwa na nafasi yoyote ya kutoa kile ambacho seva ilitaka. Pia inaonyesha kama mabadiliko ya backend yaliondoa kimyakimya TLS_CHACHA20_POLY1305_SHA256 kutoka kwenye dimbwi ambalo wateja wa zamani wanategemea — aina hiyo ya kurudi nyuma inayoonekana kama watumiaji wachache wanaoshindwa kuunganisha wakati wengine wote hawaoni chochote.

Uliza lango jambo ambalo linaweza kujibu

Ikiwa unasimamia huduma, kagua usanidi wenye matokeo wa mfano unaoendesha badala ya faili kwenye diski. OpenVPN inaweza kuwa ilianzishwa kwa njia --config tofauti, inaweza kuvuta inclusions, na inaweza kuwa haijaanzishwa upya tangu uhariri. Sera ya daemon inayoendesha ndiyo ambayo wateja wanakutana nayo.

Ikiwa huisimamii, omba kutoka kwa mwendeshaji mahitaji ya mteja yanayoungwa mkono au jaribio la kukubali lenye mipaka. Jaribio lililokataliwa si suite iliyokataliwa moja kwa moja: kikomo cha chini cha toleo, ukaguzi wa utambulisho wa cheti kama remote-cert-tls, au kutokubaliana kati ya tls-auth na tls-crypt kunaweza kumaliza mabadilishano kabla uteuzi wa suite haujawa muhimu. Soma hitilafu ya seva kabla ya kubadilisha orodha ya mteja, kwa sababu «handshake failed» inashughulikia sababu nne tofauti na moja tu kati yao ni kutokubaliana kwa sifa.

Kuelekeza openssl s_client kwenye lango la VPN pia hakuzaa swali. Njia ya udhibiti inaendesha ndani ya fremu ya OpenVPN yenyewe, kwa hiyo probe mbichi ya TLS inajaribu itifaki nyingine kwenye lango linalotarajia kitu kingine. Hitimisho lolote linalotolewa kutoka humo linahusu probe, si handaki.

Rekodi matokeo mawili na uyatenganishe

Kikao kipya kilichoruhusiwa hutoa mstari wa njia ya udhibiti unaotaja toleo la itifaki na sifa iliyochaguliwa, na mstari tofauti wa njia ya data unaotaja sifa ya handaki. Nasa zote mbili pamoja na toleo la mteja na jina la wasifu, na andika ni mfano gani wa seva ulijibu:

openvpn --config office.ovpn --verb 4 2>&1 | tee session.txt

Kisha soma mistari hiyo miwili kutoka faili hiyo, si kutoka kumbukumbu. Jozi ndiyo ushahidi; jina la suite peke yake ni upendeleo, na kikomo cha toleo ni taarifa tofauti kuhusu kile ambacho seva inakataa.

Fanya ukaguzi kwa mpangilio huu. Thibitisha ujenzi na backend kwa --version. Nasa --show-tls kabla ya kubadilisha chochote. Taja kikomo cha chini cha toleo kinachohitajika tofauti na orodha ya suites. Thibitisha sera yenye matokeo ya mfano unaoendesha na mmiliki wake. Angalia kikao kimoja kilichoruhusiwa na, ikiwa mpango unaruhusu, jaribio moja lililokataliwa la toleo la zamani. Rekodi matokeo ya njia ya udhibiti na njia ya data kama matokeo tofauti.

Ikiwa mteja anayehitajika hawezi kutimiza kiwango kipya cha chini, chukua uamuzi huo wa uhamishaji au msamaha kwa uwazi badala ya kupunguza kimyakimya kanuni ya kukubali isiyohusiana ili uzinduzi uonekane umekamilika.