Paano pinipili ng OpenVPN data-ciphers ang paraan ng pag-encrypt ng data channel

Bumangon ang tunnel, nagpapakita ang log ng paraan ng pag-encrypt, at nagpapatuloy ang pagsusuri ng profile. Pagkatapos may pag-upgrade sa isang peer at nabigo ang parehong profile na may mensahe tungkol sa walang pinagsasaluhang paraan ng pag-encrypt, na nagpapadala sa mga tao upang maghanap ng direktiba na dapat tanggalin. Ang kapaki-pakinabang na maintindihan ay inilalarawan ng data-ciphers ang isang negosasyon, hindi isang setting. Nag-aalok ang isang panig ng listahan, pumipili ang isa mula rito, at ang resulta ay isang algorithm na sinusuportahan ng dalawa. Ang pagbasa sa palitan na iyon ay nagpapaliwanag sa karamihan ng mga pagkabigong ito bago mo baguhin ang isang linya.

Dalawang channel, dalawang configuration

Isang OpenVPN session ay may control channel at data channel. Ang control channel ay nagpapatakbo ng TLS handshake na nagpapatunay sa mga peer at nakikipagnegosasyon sa mga key. Ang data channel ay nag-e-encrypt ng mga packet na nagdadala ng iyong trapiko.

Ang data-ciphers ang nagko-configure sa pangalawa. Ang control channel ay may sariling mga opsyon, at ang mga pagsusuri ng pagkakakilanlan ng profile ay pangatlo, hiwalay na usapin. Ang pagbabago sa isa ay hindi nag-aayos sa isa pa, kaya ang isang profile ay maaaring magmukhang tama at nabigo pa rin sa isang partikular na yugto.

Panatilihin ang tatlo sa kani-kanilang kahon kapag nagbabasa ka ng configuration file.

Basahin ang negosasyon mula sa log

Binabanggit ng log ng client ang dalawang resulta kapag nagtagumpay ang koneksyon. Ang isang linya ay nag-uulat ng control channel at ng mga detalye nito sa TLS, at ang isa ay nag-uulat ng napiling paraan ng pag-encrypt ng data channel.

Basahin ang dalawa, dahil sumasagot sila sa magkaibang tanong. Isang pagkabigo ng control channel ang humihinto sa koneksyon bago pa maging mahalaga ang anumang paraan ng pag-encrypt ng data. Ang hindi pagkakatugma ng data channel ay lumilitaw pagkatapos ng matagumpay na handshake, na may mensahe tungkol sa walang pinagsasaluhang paraan ng pag-encrypt.

Pagkatapos ihambing ang mga iniaalok na listahan sa magkabilang panig. Ang isang pangalan na hindi ibinibigay ng bersyon ng isang peer o ng kripto backend nito ay hindi mapipili, gaano man kaaga itong lumitaw sa listahan ng kabilang peer.

Paano talaga nangyayari ang pagpili

Itinutulak ng server ang listahan nitong data-ciphers sa client sa panahon ng handshake, at pinipili ng client ang unang entry sa listahang iyon na sinusuportahan din nito. Kaya ang pagkakasunod-sunod ay pag-aari ng configuration ng server, hindi ng client.

Ipinapaliwanag ng detalyeng iyon ang isang klase ng nakakalitong resulta. Ang muling pag-aayos ng listahan ng client ay walang binabago habang ang listahan ng server ang nagpapasya. Ang pagdaragdag ng paraan ng pag-encrypt na hindi maibibigay ng client ay walang binabago rin, dahil kailangang magamit ng client ang entry na pinipili nito.

Binago ng mas bagong release ang default na listahan at pinalitan ng pangalan ang opsyon na dating humahawak dito, kaya ang dalawang peer sa magkaibang bersyon ay maaaring hindi magkasundo nang walang sinumang nag-edit ng profile. Suriin ang bersyon sa bawat panig bago ipagpalagay na typo ito.

Ang listahan ay hindi ranggo ng lakas sa abstrakto. Ito ay isang set ng mga kandidato, at ang napili ay ang unang entry na sinusuportahan ng magkabilang panig sa pagkakasunod-sunod ng server. Kaya ang dalawang listahang magkaiba ang hitsura ay maaaring makipagnegosasyon ng parehong paraan ng pag-encrypt. Kaya rin ang dalawang listahang magkatulad ang hitsura ay maaaring mabigo.

Ang mas lumang peer ay nangangailangan ng sinadyang reserba

Ang isang peer na hindi makipagnegosasyon sa lahat, dahil mas matanda ito kaysa sa mekanismo o hindi ito pinagana, ay nangangailangan ng dokumentadong kaayusan sa pagiging tugma. Ang opsyon ng reserba ay umiiral para sa eksaktong kaso na iyon at naaangkop sa mga peer na hindi lumalahok sa negosasyon.

Iyon ay hindi katulad ng pagpapagana sa bawat lumang paraan ng pag-encrypt upang mawala ang isang mensahe. Ang malawak na listahan ay nagpapahina sa session para sa bawat peer, kabilang ang mga makikipagnegosasyon sana ng isang bagay na malakas.

I-coordinate ang dalawang panig sa halip na i-edit ang mga hindi kaugnay na pangalan ng algorithm. Kung tinanggal ng pag-upgrade ng server ang isang lumang opsyon, ang pagwawasto ay kabilang sa plano ng bersyon, hindi sa pagmamadali sa client.

Panatilihing buo ang pagpapatunay

Ang hindi pagkakatugma ng data channel ay hindi dahilan upang tanggapin ang isang hindi na-verify na server. Ang pagpapatunay ng certificate, ang inaasahang pangalan ng server at ang mga setting ng proteksyon ng control channel ay hiwalay sa pagpili ng paraan ng pag-encrypt at dapat mabuhay sa anumang pagbabago ng pagiging tugma.

Itala nang sama-sama ang napagkasunduang paraan ng pag-encrypt ng data, ang bersyon ng client at ang bersyon ng server, upang ang susunod na paghahambing ay magsimula sa mga katotohanan at hindi sa profile file.

Pagkatapos ng sinusuportahang pagwawasto, subukan ang paunang koneksyon at isang muling negosasyon, dahil ang isang session na nagtatatag nang isang beses ay maaari pa ring mabigo kapag ang mga key ay na-renew.

Kung nagtatatag ang tunnel at nabigo pa rin ang mga site, ang paraan ng pag-encrypt ay hindi na ang pinaghihinalaan. Magpatuloy sa routing at DNS. Pagkakasunod-sunod ng trabaho: basahin ang dalawang linya ng log, ihambing ang dalawang listahan, suriin ang mga bersyon, magdagdag ng reserba lamang para sa isang peer na nangangailangan nito, pagkatapos ay muling subukan ang landas ng pag-renew.