Funguo za biti 8192 huzuia kupeana mkono; DH ya biti 1024 inakataliwa

Kwenye seva moja wateja hukwama kwa muda kisha wanaunganisha tena, na nyingine hukataa miunganisho mara moja kwa ujumbe kuhusu ukubwa wa ufunguo. Zinaonekana kama hitilafu tofauti na ni hitilafu hiyo hiyo inayoelekeza pande tofauti. Usimbaji fiche wa kupeana mkono una gharama inayokua na ukubwa wa vigezo, na pia una sakafu ambayo maktaba za kisasa haziendi chini yake. Kupanga ukubwa wa nyenzo ndiyo orodha ya ukaguzi, na jambo la kwanza ni kuamua ni hitilafu ipi kati ya hizo mbili unayo kweli.

Soma kushindwa kabla ya kuzalisha upya kitu chochote

Muda unakuambia sehemu kubwa yake. Kupeana mkono kunakochukua sekunde kadhaa kisha kufa kwa kawaida humaanisha kuwa hesabu ilizidi uvumilivu wa upande mwingine, jambo linaloelekeza kwenye vigezo vikubwa mno kwa maunzi au kwa kikomo cha muda. Kukataliwa mara moja kunakotaja ukubwa wa ufunguo au kundi huelekeza upande mwingine, kwenye nyenzo ambazo maktaba haitazikubali hata kidogo.

Hizi mbili zinahitaji marekebisho kinyume, na hapa ndipo juhudi nyingi hukosea. Kuzalisha upya vigezo vya biti 8192 kwenye mteja ambaye tayari amekataa kundi dogo huzidisha kesi ya polepole bila kufanya chochote kwa ile ya haraka. Andika ni dalili gani uliona kabla ya kugusa faili.

Kisha angalia kinachotakiwa kutoka upande mwingine. Seva iliyowekwa kwa kundi kubwa la uwanja wenye kikomo hulazimisha kila mteja kutumia muda sawa wa CPU katika kila mazungumzo upya, si tu wakati wa kuunganisha. Kama tatizo linaonekana kwa muda maalum badala ya mwanzo, muda huo ni kidokezo kikubwa cha mpangilio upi ni ghali. Mazungumzo upya hurudia hesabu yote, kwa hiyo kukwama kunakorudi kila saa kwa kawaida ni gharama hiyo hiyo iliyolipwa tena.

Kesi ya polepole: nyenzo ambazo maunzi hayawezi kumudu

Kazi ya Diffie-Hellman na RSA hukua haraka na ukubwa wa ufunguo, na yote hayo hutokea kabla ya trafiki yoyote kutiririka kwenye handaki. Kwenye kipanga njia kidogo au mteja wa nguvu ndogo, kundi kubwa vya kutosha linaweza kusukuma ubadilishanaji kupita kikomo cha muda cha upande mwingine, hivyo muunganisho hujaribu tena au huonekana tu umekwama bila hitilafu yoyote.

Marekebisho ni kushuka hadi ukubwa ambao kila upande unaunga mkono na kila kifaa kinaweza kuhesabu kwa raha. Ufunguo wa RSA wa biti 2048 na kundi la biti 2048 vinabaki msingi unaoendana kwa upana; kubwa zaidi husaidia tu wakati pande zote zinakubali na CPU inaweza kulipa katika kila mazungumzo upya. Kila kitu juu ya msingi huo ni ubadilishanaji wa makusudi, si uboreshaji.

Ukubwa si alama, na namba kubwa zaidi katika jedwali la ulinganisho si chaguo sahihi kiotomatiki. Chagua thamani ndogo zaidi ambayo sera yako inaruhusu na pande zote zinakubali, kisha pima kupeana mkono badala ya kudhani kumeboreshwa. Kundi dogo ambalo bado linapita muda hukuambia ukubwa haukuwa kamwe hadithi nzima.

Kesi ya haraka: kundi ambalo maktaba inakataa

Miundo ya kisasa ya OpenSSL hukataa moja kwa moja makundi madogo zaidi ya uwanja wenye kikomo, na kiwango cha usalama kilichoinuliwa husukuma sakafu juu zaidi. Firmware ya kipanga njia inayobeba faili la vigezo la miongo ni chanzo cha kawaida, na dalili ni muunganisho unaoshindwa papo hapo kwa ujumbe unaotaja kundi au ukubwa wa ufunguo. Hakuna kitu katika kushindwa huko kilicho cha vipindi, na ndiyo hufanya iwe rahisi kutambua.

Badilisha faili badala ya kuhariri usanidi ili kuruka ukaguzi. Zalisha kundi la sasa, thibitisha, kisha lisakinishe mahali ambapo daemon inalisoma kweli. Weka faili la zamani hadi mteja ataunganishwa kwa mafanikio na jipya:

openssl dhparam -out /etc/openvpn/ffdhe2048.pem 2048
openssl dhparam -in /etc/openvpn/ffdhe2048.pem -check -noout
ls -l /etc/openvpn/ffdhe2048.pem

Amri ya ukaguzi huthibitisha faili na haichapishi kitu chochote cha manufaa inapopita; orodha huthibitisha kuwa ulibadilisha faili ambalo huduma inapakia, si nakala ya zamani kando yake. Elekeza usanidi kwenye njia hiyo, anzisha upya daemon, na thibitisha kuwa mteja aliyeshindwa hapo awali sasa anamaliza kupeana mkono.

Kama seva pia inaweka kiwango cha usalama au wasifu wa cheti, visome kabla ya kuhitimisha kuwa kundi lilikuwa si sahihi. Wasifu unaodai darasa kali zaidi unaweza kukataa nyenzo ambazo chaguo-msingi lingelikubali, na kuondoa mpangilio huo ni badiliko dogo zaidi kuliko kuzima ukaguzi duniani kote.

Chagua ukubwa kwa upande mwingine na maunzi

Gundua kile mwisho wa mbali unaweza kuvumilia kabla ya kuzalisha kitu cha kigeni. Kifaa kilichozeeka mno kwa kundi la biti 2048 ni kifaa cha kubadilishwa, kwa kuwa kuelekeza seva kwenye kundi dhaifu zaidi hugeuza tu malalamiko ya upatanifu kuwa hitilafu. Marekebisho ya kudumu huelekea programu mpya zaidi, si vigezo vya zamani. Kila isipokuwa la muda katika nyanja hii lina njia ya kuwa usanidi wa kudumu.

Ambapo CPU ya seva ni kikomo, badilisha algoriti badala ya kushuka chini ya sera. Ubadilishanaji wa funguo wa mkunjo duara kama X25519 ni wa bei nafuu sana kuliko kundi kubwa la uwanja wenye kikomo na unaungwa mkono kwa upana, jambo linaloufanya kuwa jibu bora kwa malalamiko ya utendaji kuliko moduli ndogo ya RSA.

Chochote utakachochagua, jaribu kwa muunganisho mmoja halisi na uangalie muda ambao kupeana mkono huchukua, si tu kama mwishowe kinaunganisha. Muunganisho unaofanikiwa katika sekunde kumi na mbili una sababu kuu sawa na ule unaoshindwa katika kumi na tano.

Andika chaguo ili ujenzi upya usiweze kulibatilisha

Weka faili la vigezo chini ya usimamizi wa usanidi na andika kando yake ukubwa, sababu na tarehe. Seva iliyojengwa upya inayozalisha chaguo-msingi zake kimya ndiyo njia ambayo hitilafu hiyo hiyo hurudi baada ya miezi sita bila mtu yeyote kuweza kueleza uamuzi wa awali.

Andika taarifa hizo hizo kando ya kituo cha mwisho na wasifu, ili mapitio yasilazimike kuijenga upya kutoka ukubwa wa faili. Muunganisho ujao unapokwama, kidokezo hicho ni tofauti kati ya ukaguzi wa dakika tano na uchunguzi mpya. Pia huzuia mhandisi anayefuata kutatua kesi ya polepole kwa marekebisho yaliyokusudiwa ile ya haraka.