DH கோப்பா tls-auth விசையா? இரண்டு OpenVPN கோப்புகளை வேறுபடுத்துதல்

இரண்டு கோப்புகள், இரண்டு உத்தரவுகள், மற்றும் அவை அமைக்கும் பொருளின் பெயராலேயே இரண்டையும் அழைக்கும் பழக்கம். அப்படித்தான் dh.pem tls-auth வரியில் வந்து சேர்கிறது, வாடிக்கையாளர் எதிர்பாராத விசை வடிவம் பற்றிய செய்தியுடன் தோல்வியடைகிறது. உங்கள் முன் உள்ள முடிவு எந்தக் கோப்பு வலிமையானது என்பதல்ல. வரிசைப்படுத்தலுக்கு உண்மையில் எந்தப் பங்கு தேவை என்பதே, அதை மூன்று நிபந்தனைகள் தீர்க்கின்றன: உங்கள் TLS அடுக்கு எந்த விசைப் பரிமாற்றத்தைப் பேச்சுவார்த்தை செய்யும், கட்டுப்பாட்டு சேனல் அங்கீகாரம் உங்களுக்கு வேண்டுமா, மற்றும் பொருள் ரகசியமாக இருக்க வேண்டுமா.

அவற்றுக்கு வரிசையாகப் பதிலளியுங்கள், கோப்புக் கேள்வி தானே பதிலளிக்கும். அவற்றைத் தவிர்த்தால் உத்தரவுகளின் பெயர்கள் ஒன்றுக்கொன்று மாற்றக்கூடியதாகத் தோன்றத் தொடங்கும், பிழை அந்த நிலையிலிருந்தே வருகிறது.

கோப்பின் பெயருக்கு முன் லேபிளைப் படியுங்கள்

கோப்பின் முதல் வரி அதன் பெயரை விட அதிகத் தகவல் தருகிறது, ஏனெனில் பெயர் மனித மரபு, லேபிளைக் கருவி உருவாக்குகிறது. Diffie-Hellman அளவுருக்கள் BEGIN DH PARAMETERS என்ற PEM லேபிளைக் கொண்டுள்ளன. OpenVPN நிலை விசை முற்றிலும் வேறு அமைப்பு, அதற்கேயான தலைப்பும் ஹெக்ஸ் ஏற்றுதலும் உண்டு.

பெயர் மாற்றுவது எதையும் மாற்றாது. ta.key என்ற பெயருள்ள அளவுரு கோப்பு இன்னும் அளவுருக்களே, dh.pem என்ற பெயருள்ள நிலை விசை இன்னும் நிலை விசையே; பாகுபடுத்தி உள்ளடக்கத்தைப் படித்து பொருந்தாமையை நிராகரிக்கிறது. சுயவிவரத்தைத் திருத்தும் முன் சரிபார்க்கவும்:

head -n 1 dh.pem
head -n 1 ta.key

எந்தக் கோப்பு தேவை என்பதைத் தீர்மானிக்கும் மூன்று நிபந்தனைகள்

முதல் நிபந்தனை பரிமாற்றம். வரம்புள்ள புலத்தின் Diffie-Hellman கைக்குலுக்கலுக்கு ஒரு குழு தேவை, dh உத்தரவு சேவையகம் அதற்கான அளவுருக்களைப் பெயரிடும் இடம். நீள்வட்ட வளைவின் கைக்குலுக்கலுக்கு அந்தக் கோப்பு தேவையே இல்லை, ஏனெனில் வளைவே அளவுருத் தொகுப்பு. உங்கள் சேவையகம் ECDHE தொகுப்புகளை மட்டுமே பேச்சுவார்த்தை செய்தால், DH கோப்பு கூடுதல் வலிமை அல்ல, இறந்த சுமை.

இரண்டாவது நிபந்தனை கட்டுப்பாட்டு சேனல் அங்கீகாரம், அதற்கேயான பொருளுடன் கூடிய தனி அம்சம். tls-auth கோப்பு இரு தரப்பும் வைத்திருக்கும் பங்கிடப்பட்ட நிலை விசை, கட்டுப்பாட்டு சேனல் பாக்கெட்டுகளில் கையொப்பமிடப் பயன்படுகிறது, அதனால் அங்கீகரிக்கப்படாத தரப்பு கைக்குலுக்கலைக் கூட முடிக்க முடியாது. வரம்புள்ள புல DH பயன்படுத்தினாலும் இல்லாவிட்டாலும் அது உள்ளது, குழு அளவுருக்களுடன் அதற்கு எந்தத் தொடர்பும் இல்லை.

மூன்றாவது நிபந்தனை ரகசியத்தன்மையும் பங்கீடும். DH அளவுருக்களை அமர்வை பலவீனப்படுத்தாமல் வெளியிடலாம், ஏனெனில் ரகசிய மதிப்புகள் ஒவ்வொரு கைக்குலுக்கலுக்கும் உருவாக்கப்படுகின்றன, தரப்புகளை ஒருபோதும் விட்டு விலகுவதில்லை. நிலை விசையை வெளியிடக் கூடாது: அது இரு முனைகளிலும் ஒரே பைட்டுகள், தானாகச் சுழல்வதில்லை, அதை வைத்திருப்பவர் யாரும் செல்லுபடியாகும் கட்டுப்பாட்டு சேனல் கையொப்பங்களை உருவாக்கலாம். அந்த இரண்டு பதில்களும் முற்றிலும் வேறுபட்ட கையாளல் விதிகளை நோக்கிக் காட்டுகின்றன, அதனால்தான் ஒரு கோப்பு களஞ்சியத்தில் இருக்க முடியும், மற்றொன்று முடியாது.

ஒவ்வொரு பங்குக்கும் சரியான பொருளை உருவாக்குங்கள்

உத்தரவு எதிர்பார்க்கும் வடிவத்தை உருவாக்கும் கருவியைப் பயன்படுத்துங்கள், அவற்றுக்கிடையே மாற்றுவதற்குப் பதிலாக. OpenVPN 2.6 இல் பங்கிடப்பட்ட விசைக்கு உருவாக்கியின் தட்டச்சு வடிவம் நோக்கத்தை வெளிப்படையாகக் கூறுகிறது.

openvpn --genkey tls-auth ta.key

அந்தக் கட்டளை புதிய ரகசியப் பொருளை உருவாக்குகிறது; ஏற்கனவே உள்ள விசையைப் பழுதுபார்க்கவோ பரிசோதிக்கவோ செய்யாது, மீண்டும் இயக்கினால் மற்ற தரப்புகளிடம் இல்லாத வேறு விசை கிடைக்கும். விளைந்த கோப்பைத் தேவைப்படும் தரப்புகளுக்கு எந்தப் பங்கிடப்பட்ட ரகசியத்துக்கும் பயன்படுத்தும் வழியில் நகலெடுங்கள், திசை மரபைச் சீராக வைத்திருங்கள்: tls-auth உடன் ஒரு பக்கம் key-direction 0, மறுபக்கம் key-direction 1 பயன்படுத்துகிறது.

DH அளவுருக்கள் தேவைப்படும்போது அளவுரு உருவாக்கத்திலிருந்து வருகின்றன, விசை உருவாக்கியிலிருந்து அல்ல, விளைவு பொதுவானதாக இருந்தாலும் அவற்றின் மூலம் முக்கியம். அறியாத மூலத்திலிருந்து எடுக்கப்பட்ட குழு பொதுவானது என்பதால் நம்பகமானதாகாது; அது இன்னும் உங்கள் தரப்புகள் ஒப்புக்கொள்ளும் குழுவாகவும் அதன் அளவு அல்லது கட்டமைப்பால் பலவீனப்படுத்தப்படாததாகவும் இருக்க வேண்டும்.

dh none என்பது என்ன, என்ன அல்ல

dh none குறுகிய பொருளுள்ள உண்மையான உத்தரவு: எந்த வரம்புள்ள-புல அளவுரு கோப்பும் ஏற்றப்படாது, ஏனெனில் கைக்குலுக்கல் நீள்வட்ட வளைவு Diffie-Hellman பயன்படுத்துகிறது. இது ஏதோ ஒன்றைப் பலவீனப்படுத்தும் பொருளில் “DH படிநிலையைத் தவிர்” என்பதன் சுருக்கம் அல்ல, OpenVPN-ஐ வேறு கோப்பை மாற்றாக ஏற்கச் சொல்வதும் நிச்சயமாக இல்லை.

தவறாகப் படிப்பதால் இரண்டு பிழைகள் வருகின்றன. முதல், dh none tls-auth தேவையை நீக்குகிறது என்று கருதுவது, இரண்டும் வெவ்வேறு விஷயங்களைக் கட்டுப்படுத்துகின்றன. இரண்டாவது, வளைவு-மட்டும் அமைப்புக்கு அருகில் பழைய dh வரியை வைத்துவிட்டு சேவையகம் உண்மையில் எந்தக் கோப்பைப் பயன்படுத்துகிறது என்று யோசிப்பது; உத்தரவு இருந்தால் கோப்பு படிக்கப்படும், அங்குள்ள உடைந்த பாதை பேச்சுவார்த்தை செய்யப்படும் பரிமாற்றத்துக்குத் தொடர்பில்லாத காரணத்தால் தொடக்கத்தைத் தோல்வியடையச் செய்யும்.

தவறான கோப்பு ஏற்கனவே வரிசைப்படுத்தப்பட்டிருந்தால்

சுயவிவர உரிமையாளரிடமிருந்து எண்ணிய ரகசியத்தை மீட்டெடுங்கள், அவ்வாறு செய்யும்போது சான்றிதழ் சரிபார்ப்பைத் தொடாதீர்கள். தோல்வி வடிவப் பொருந்தாமை, நம்பிக்கைத் தோல்வி அல்ல, பிழையைத் தவிர்க்கச் சரிபார்ப்பை அணைப்பது தொடக்கச் சிக்கலை அமைதியான சிக்கலால் மாற்றுகிறது.

பின்னர் மக்கள் இணைக்கும் இரண்டு நிகழ்வுகளைப் பிரிக்கவும். DH அளவுரு கோப்பை வெளியிடுவது கிட்டத்தட்ட தீங்கற்றது, ஏனெனில் அளவுருக்கள் வடிவமைப்பிலேயே பொதுவானவை. tls-auth விசையை வெளிப்படுத்துவது வேறு நிகழ்வு: விசை அதை வைத்திருக்கும் ஒவ்வொரு தரப்புக்கும் கட்டுப்பாட்டு சேனல் பாக்கெட்டுகளை அங்கீகரிக்கிறது, எனவே மாற்றீடு ஒரு ஹோஸ்ட்டில் அல்ல, முழு வரிசைப்படுத்தலிலும் ஒருங்கிணைக்கப்பட வேண்டும்.

ஐந்து நிமிடச் சரிபார்ப்பு நீங்கள் எந்த நிலையில் இருக்கிறீர்கள் என்பதைத் தீர்மானிக்கிறது: ஒவ்வொரு கோப்பின் முதல் வரியையும் படியுங்கள், அதைக் குறிக்கும் உத்தரவை உறுதிப்படுத்துங்கள், கோப்பின் பங்கீடு பொருளின் தேவைக்குப் பொருந்துகிறதா என்பதை உறுதிப்படுத்துங்கள். இது இயங்கும் PKI-ஐ மீண்டும் உருவாக்குவதை விடச் சிறிய வேலை, மூன்று நிபந்தனைகள் எப்போதும் காட்டியதும் இதையே.