Nabigo ang pagpapatunay ng HMAC sa packet ng OpenVPN: aling antas?

Dalawang pagkabigo na iniuulat sa iisang bokabularyo at halos walang pagkakatulad. Ang isa ay packet na hindi naipasa ang pagpapatunay ng tag nito; ang isa pa ay tao na tinanggihan ang mga kredensyal. Kung ituturing ang una bilang pangalawa, maghahanap ka ng password na hindi kailanman naging problema.

Pinapangalanan ng mensahe ang isang antas, at ang kapaki-pakinabang na gawain ay ang pagpasyahan kung aling antas bago palitan ang anumang materyal. Ang paghahambing ng mga kandidato nang magkatabi ang pinakamabilis na paraan upang makita ang pagkakaiba.

Dalawang pagkabigo na may iisang salita

Ang error sa pagpapatunay ng packet ay lumalabas habang pinoproseso ang trapiko: ang tag o digest sa natanggap na packet ay hindi tugma sa kinakalkula ng tumatanggap. Ang pagtanggi sa account ay nangyayari pagkatapos ma-parse ang palitan ng pag-login, at pinapangalanan nito ang isang user sa halip na packet. Ang ikatlong mensahe, tungkol sa hindi mahanap ang HMAC sa papasok na packet, ay iba na naman, dahil doon dumating ang packet na wala talaga ang inaasahang elementong pangpapatunay. Ang buong prefix ng log ang nagsasabi kung alin sa tatlo ang mayroon ka, at ang prefix ang karaniwang unang tinatanggal kapag ang error ay ipinapaste sa isang ticket.

Binabago ng pagkakaiba ang pag-aayos. Ang isa ay nangangailangan ng magkatugmang setting ng channel, ang isa pa ng estado ng account, at ang pangatlo ng profile na hindi tugma sa listener na naabot nito.

Ihambing ang aktuwal na ni-load ng tumatakbong proseso

Ang tamang file sa disk ay walang pinapatunayan tungkol sa prosesong nagsimula bago ito na-edit. Suriin ang piniling profile, ang endpoint na kinontak nito, at kung ang serbisyo ay muling na-load mula noong pagbabago. Tiyakin din na ang endpoint ay kabilang sa profile, dahil maaaring may ibang instance o ibang serbisyo na nakikinig sa lugar kung saan inaasahan ng lumang file ang ibang bagay.

Ang muling pag-export ng sinusuportahang profile mula sa parehong pinagmulan ay murang paghahambing, dahil inaalis nito ang pagkakaiba sa pagitan ng inaakala mong naka-configure at ng aktuwal na ipinapadala ng client. Ang paglikha ng bagong key material ay mas malaking hakbang, at nakakatulong lamang kung parehong panig ang mag-aampon nito nang sabay. Ang pagpapalit ng isang panig nang lokal ay muling lumilikha ng hindi pagtugmang sinusubukan mong alisin.

Ihambing ang control channel sa data channel

Dalawang mekanismo ang nagpapatunay ng magkaibang bahagi ng isang koneksyon at isa-isang naka-configure, gaya ng inilalarawan ng sanggunian ng opsyon sa 2.6. Ang tls-auth ay nagdaragdag ng HMAC sa mga packet ng control channel at kumukuha ng argumentong direksyon na dapat kabaligtaran sa dalawang panig, samantalang pinoprotektahan naman ng tls-crypt ang control channel gamit ang ibinahaging susi. Wala sa kanila ang sariling pagsusuri ng integridad ng data channel. Sa AEAD data cipher, ang pagsusuring iyon ay nakapaloob sa cipher, kaya ang hiwalay na digest na auth ay hindi ginagamit tulad ng sa cipher na hindi AEAD.

Ibig sabihin, ang linyang auth na kinopya mula sa gumaganang deployment na hindi AEAD ay maaaring walang kaugnayan sa isang AEAD, at ang AEAD deployment ay maaari pa ring mabigo sa control channel kung mali ang susi ng tls-auth o ang direksyon nito. Ihambing ang bawat setting sa kabilang panig, hindi sa natatandaang configuration.

Ihambing ang pag-aayos sa katangiang ibinibigay mo

Ang pag-off ng pagpapatunay ng packet ay nagpapatahimik sa babala at nag-aalis ng pagsusuring nakakita ng hindi pagtugma, na hindi katulad ng pag-aayos ng profile. Itanong kung aling katangian ang isinusuko mo at kung nananatili pa ang disenyo kapag wala ito.

Basahin ang unang may-kinalamang kaganapan sa magkabilang panig bago magbago ng anuman, pagkatapos ay baguhin lamang ang hindi pagtugmang pinapangalanan nito.

Kung ang susunod na pagtatangka ay umabot sa error sa certificate o pag-login, iyon ay progreso at hindi pag-urong: sumasang-ayon na ngayon ang packet layer at nakaabante na ang koneksyon. Itala ang mga setting na nagdulot ng pagbabago, upang ang susunod na tao ay magmana ng paliwanag sa halip na misteryo.