OpenVPN లాగ్: నియంత్రణ ఛానెల్ సైఫర్ వర్సెస్ డేటా ఛానెల్ సైఫర్

DHE-RSA-AES256-SHA అని పేరు పెట్టే లాగ్ లైన్ మొత్తం కనెక్షన్ యొక్క సారాంశం కాదు. ఇది నియంత్రణ ఛానెల్‌ను రక్షించే TLS హ్యాండ్‌షేక్‌కు చెందుతుంది, మరియు టన్నెల్ లోపలి ట్రాఫిక్ పూర్తిగా వేరే విధంగా ఎన్‌క్రిప్ట్ చేయబడి ఉండవచ్చు. దీన్ని VPN యొక్క డేటా సైఫర్‌గా చూపించడం తప్పించుకోవాల్సిన పొరపాటు.

రెండు ఫలితాలు ముఖ్యమైనవి, మరియు అవి వేర్వేరు ప్రశ్నలకు సమాధానం ఇస్తాయి. ఒకటి నియంత్రణ ఛానెల్ కోసం అంగీకరించిన TLS సూట్; మరొకటి టన్నెల్ తీసుకువెళ్లే ప్యాకెట్ల డేటా సైఫర్.

రెండు ఫలితాలు, రెండు ప్రశ్నలు

నియంత్రణ ఛానెల్ హ్యాండ్‌షేక్ మరియు సహచరుల మధ్య నిర్వహణ సందేశాలను తీసుకువెళుతుంది. దాని సైఫర్‌ను TLS స్టాక్ ఎంచుకుంటుంది, కాబట్టి పేరు TLS సంప్రదాయాలను అనుసరిస్తుంది. డేటా ఛానెల్ వినియోగదారు ట్రాఫిక్‌ను తీసుకువెళుతుంది మరియు దాన్ని OpenVPN యొక్క స్వంత సైఫర్ చర్చలు కాన్ఫిగర్ చేస్తాయి.

రెండు లైన్లలో ఏదైనా చదవడానికి ముందు మీరు ఏ ప్రశ్నకు సమాధానం ఇస్తున్నారో నిర్ణయించుకోండి. టన్నెల్ ఎన్‌క్రిప్ట్ చేయబడిందా మరియు హ్యాండ్‌షేక్ బలంగా ఉందా అనేది ఒకే ప్రశ్న కాదు.

రెండు లైన్లను చూపించే లాగ్ భాగం ఉపయోగకరం. నియంత్రణ లైన్‌ను TLS వెర్షన్ మరియు సూట్ కోసం చదవండి, డేటా లైన్‌ను పేలోడ్‌ను నిజంగా రక్షించే అల్గారిథమ్ కోసం చదవండి.

TLS సూట్ పేరును దాని స్వంత సందర్భంలో అర్థం చేసుకోండి

OpenSSL శైలి చారిత్రక పేరులో, ఉదాహరణకు DHE-RSA-AES256-SHA, ప్రతి భాగం వేరే నిర్ణయాన్ని వివరిస్తుంది. DHE అనేది తాత్కాలిక Diffie-Hellman కీ ఒప్పందం, RSA అనేది ప్రామాణీకరణ పద్ధతి, AES256 అనేది TLS రికార్డుల కోసం CBC మోడ్‌లో AES-256, మరియు SHA అనేది SHA-1 ఆధారిత రికార్డ్ MAC.

చివరి భాగం సర్టిఫికెట్ వేలిముద్ర కాదు, దాన్ని అలా చదవడం సాధారణ పొరపాటు. పేరు తనంతట తానే ప్రోటోకాల్ వెర్షన్‌ను కూడా చెప్పదు, ఎందుకంటే TLS 1.3 పూర్తిగా భిన్నమైన నామకరణ పథకాన్ని ఉపయోగిస్తుంది. TLS_AES_256_GCM_SHA384 ఆ కొత్త రూపాన్ని అనుసరిస్తుంది, అందులో చివరి హాష్ సూట్ నిర్మాణంలో భాగం, MAC ఎంపిక కాదు. భాగం-ఆధారిత పఠనాన్ని పాత నామకరణ శైలికి మాత్రమే వర్తించండి.

OpenSSL సూట్ సూచన ఏదైనా భాగం అపరిచితంగా ఉంటే ఈ పేర్లను వాటి నిర్వచనాలతో కలుపుతుంది.

తీసుకువెళ్లే ట్రాఫిక్ కోసం డేటా ఛానెల్ ఫలితాన్ని చదవండి

తీసుకువెళ్లే ట్రాఫిక్ కోసం అదే సెషన్ యొక్క డేటా ఛానెల్ లైన్‌ను చదవండి. కాన్ఫిగరేషన్‌లో data-ciphers జాబితా అనుమతించిన సమితి, నిర్దిష్ట అల్గారిథమ్ అంగీకరించబడినట్లు రుజువు కాదు. లాగ్ ఎంపికను నమోదు చేస్తుంది; కాన్ఫిగరేషన్ మెనుని జాబితా చేస్తుంది.

AES-GCM వంటి AEAD సైఫర్ దాని స్వంత సమగ్రత తనిఖీని తీసుకువస్తుంది, కాబట్టి ప్రత్యేక డేటా ఛానెల్ HMAC ఆ మార్గంలో భాగం కాదు.

auth సూచన TLS, సర్టిఫికెట్లు లేదా డేటా సైఫర్‌ను అప్‌గ్రేడ్ చేయదు. ఇది ప్రోటోకాల్‌లోని ఇంకా ఒకదాన్ని ఉపయోగించే భాగాలకు డైజెస్ట్‌ను ఎంచుకుంటుంది, మరియు AEAD డేటా సైఫర్‌తో కాన్ఫిగర్ చేయడానికి ప్రత్యేక డేటా HMAC లేదు.

గుర్తింపు తనిఖీలను సైఫర్ ఫలితం వెలుపల ఉంచండి

సర్టిఫికెట్ సంతకం అల్గారిథమ్, విశ్వాస గొలుసు ధ్రువీకరణ మరియు సహచరి పేరు ధ్రువీకరణ సైఫర్ పేరు ఏమీ చెప్పని మరో మూడు లక్షణాలు. గడువు ముగిసిన సర్టిఫికెట్ విఫలమవుతుంది, సూట్ ఎంత బలంగా ఉన్నా. సరిపోలని సర్వర్ పేరు అదే విధంగా విఫలమవుతుంది. ప్రొఫైల్‌లో డైజెస్ట్ సెట్టింగ్‌ను సరిచేయడం రెండింటినీ సరిచేయదు.

ఈ తనిఖీలను సమీక్ష నోట్స్‌లో సైఫర్ ఫలితం పక్కన ఉంచండి, దానిలో కలపకండి.

ప్రస్తుత సెషన్ యొక్క అంగీకరించిన ఫలితాలను నమోదు చేయండి

ప్రస్తుత కనెక్షన్ ఫలితాలను తీసుకోండి మరియు వాటితో క్లయింట్ మరియు సర్వర్ వెర్షన్‌లను నమోదు చేయండి. కేవలం జోడించే లాగ్ పాత సెషన్ లైన్‌ను ఉంచగలదు, మరియు దాన్ని ప్రస్తుతంగా ఉటంకించడం సరిచేసిన సమస్య కొనసాగుతున్నట్లు కనిపించే విధానం.

విధాన సమీక్ష కోసం కాన్ఫిగరేషన్ యజమానికి అంగీకరించిన TLS వెర్షన్ మరియు సూట్, ఎంచుకున్న డేటా సైఫర్ మరియు సర్టిఫికెట్ ధ్రువీకరణ సెట్టింగ్‌లను కలిపి ఇవ్వండి. ఆ పొరను మార్చి, ఆపై కొత్త అంగీకరించిన విలువలను నిర్ధారించడానికి కొత్త లాగ్‌ను చదవండి.