OpenVPN data-ciphers veri kanalı şifresini nasıl seçer

Tünel açılır, günlük bir şifre gösterir ve profil incelemesi devam eder. Sonra bir eşte güncelleme gelir ve aynı profil ortak şifre yok mesajıyla başarısız olur, bu da insanları silinecek bir direktif aramaya gönderir. Anlaşılması gereken yararlı şey, data-ciphers bir müzakereyi tanımlar, bir ayarı değil. Bir taraf liste sunar, diğeri ondan seçer ve sonuç ikisinin de desteklediği tek bir algoritmadır. Bu alışverişi okumak, bir satırı değiştirmeden önce bu hataların çoğunu açıklar.

İki kanal, iki yapılandırma

Bir OpenVPN oturumunda bir kontrol kanalı ve bir veri kanalı vardır. Kontrol kanalı, eşleri doğrulayan ve anahtarları müzakere eden TLS el sıkışmasını çalıştırır. Veri kanalı, trafiğinizi taşıyan paketleri şifreler.

data-ciphers ikincisini yapılandırır. Kontrol kanalının kendi seçenekleri vardır ve profilin kimlik kontrolleri üçüncü, ayrı bir konudur. Birindeki değişiklik diğerini düzeltmez, bu yüzden bir profil doğru görünüp yine de belirli bir aşamada başarısız olabilir.

Bir yapılandırma dosyası okurken bu üçünü kendi kutularında tutun.

Müzakeroyu günlükten okuyun

İstemci günlüğü, bağlantı başarılı olduğunda iki sonucu da adlandırır. Bir satır kontrol kanalını ve TLS ayrıntılarını, bir diğeri seçilen veri kanalı şifresini bildirir.

İkisini de okuyun, çünkü farklı soruları yanıtlarlar. Kontrol kanalı arızası herhangi bir veri şifresi önem kazanmadan bağlantıyı durdurur. Veri kanalı uyuşmazlığı başarılı bir el sıkışmadan sonra, ortak şifre yok mesajıyla görünür.

Sonra iki taraftaki sunulan listeleri karşılaştırın. Bir eşin sürümünün veya kripto arka ucunun sağlamadığı bir ad, diğer eşin listesinde ne kadar erken görünürse görünsün seçilemez.

Seçim gerçekte nasıl olur

Sunucu el sıkışma sırasında data-ciphers listesini istemciye iter ve istemci bu listede kendisinin de desteklediği ilk girdiyi seçer. Dolayısıyla sıra istemcinin değil, sunucunun yapılandırmasına aittir.

Bu ayrıntı, kafa karıştırıcı sonuçlardan oluşan bir sınıfı açıklar. Sunucunun listesi karar verirken istemcinin listesini yeniden sıralamak hiçbir şeyi değiştirmez. İstemcinin sağlayamadığı bir şifreyi eklemek de hiçbir şeyi değiştirmez, çünkü istemci seçtiği girdiyi kullanabilmelidir.

Daha yeni sürümler varsayılan listeyi değiştirdi ve onu tutan seçeneği yeniden adlandırdı, bu yüzden farklı sürümlerdeki iki eş kimse profili düzenlemeden anlaşmazlığa düşebilir. Yazım hatası varsaymadan önce her iki taraftaki sürümü kontrol edin.

Bir liste soyut olarak bir güç sıralaması değildir. Bir adaylar kümesidir ve seçilen, sunucunun sırasındaki ilk karşılıklı desteklenen girdidir. Bu yüzden farklı görünen iki liste aynı şifreyi müzakere edebilir. Bu yüzden aynı görünen iki liste de başarısız olabilir.

Daha eski eşler kasıtlı bir yedeğe ihtiyaç duyar

Mekanizmadan daha eski olduğu veya onu devre dışı bıraktığı için hiç müzakere edemeyen bir eş, belgelenmiş bir uyumluluk düzenlemesine ihtiyaç duyar. Yedek seçenek tam olarak bu durum için vardır ve müzakerelere katılmayan eşler için geçerlidir.

Bu, bir mesajın kaybolması için her eski şifreyi etkinleştirmekle aynı şey değildir. Geniş bir liste, güçlü bir şeyi müzakere edecek olanlar da dahil, her eş için oturumu zayıflatır.

İlgisiz algoritma adlarını düzenlemek yerine iki tarafı koordine edin. Bir sunucu güncellemesi eski bir seçeneği kaldırdıysa, düzeltme sürüm planına aittir, istemcideki telaşlı bir arayışa değil.

Doğrulamayı bozulmadan koruyun

Veri kanalı uyuşmazlığı doğrulanmamış bir sunucuyu kabul etmek için bir neden değildir. Sertifika doğrulaması, beklenen sunucu adı ve kontrol kanalı koruma ayarları şifre seçiminden ayrıdır ve her uyumluluk değişikliğinden sağ çıkmalıdır.

Müzakere edilen veri şifresini, istemci sürümünü ve sunucu sürümünü birlikte kaydedin, böylece bir sonraki karşılaştırma profil dosyasından değil gerçeklerden başlasın.

Desteklenen bir düzeltmeden sonra ilk bağlantıyı ve yeniden müzakeroyu test edin, çünkü bir kez kurulan oturum anahtarlar yenilendiğinde yine de başarısız olabilir.

Tünel kurulur ve siteler hâlâ başarısız olursa, şifre artık şüpheli değildir. Yönlendirme ve DNS ile devam edin. İş sırası: iki günlük satırını okuyun, iki listeyi karşılaştırın, sürümleri kontrol edin, yalnızca ihtiyaç duyan bir eş için yedek ekleyin ve ardından yenileme yolunu yeniden test edin.