OpenVPN paket HMAC kimlik doğrulaması başarısız: hangi katman?

Aynı sözcük dağarcığıyla bildirilen iki arıza ve neredeyse hiç ortak yanları yok. Biri, kimlik doğrulama etiketi doğrulanmayan bir paket; diğeri kimlik bilgileri reddedilen bir kişi. Birincisini ikincisi gibi ele almak, sorun hiç olmamış bir parolanın peşine düşürür.

İleti bir katman adı verir ve asıl iş, herhangi bir malzemeyi değiştirmeden önce hangi katman olduğuna karar vermektir. Adayları yan yana karşılaştırmak farkı görmenin en hızlı yoludur.

Aynı sözcüğü paylaşan iki arıza

Paket kimlik doğrulama hatası trafik işlenirken ortaya çıkar: alınan paketteki etiket veya özet, alıcının hesapladığıyla eşleşmedi. Hesap reddi, bir oturum açma alışverişi ayrıştırıldıktan sonra gerçekleşir ve paket yerine bir kullanıcıyı adlandırır. Gelen pakette HMAC bulunamamasıyla ilgili üçüncü ileti yine başkadır, çünkü orada paket beklenen kimlik doğrulama öğesi hiç olmadan gelmiştir. Tam günlük öneki üçünden hangisine sahip olduğunuzu söyler ve bir hata bir talebe yapıştırıldığında genellikle ilk kaldırılan şey bu önektir.

Bu ayrım onarımı değiştirir. Biri eşleşen kanal ayarları ister, diğeri hesap durumu, üçüncüsü ise ulaştığı dinleyiciyle eşleşmeyen bir profil ister.

Çalışan sürecin gerçekte ne yüklediğini karşılaştırın

Diskteki doğru bir dosya, düzenlenmeden önce başlamış bir süreç hakkında hiçbir şey kanıtlamaz. Seçili profili, bağlandığı uç noktayı ve hizmetin değişiklikten bu yana yeniden yüklenip yüklenmediğini kontrol edin. Uç noktanın profile ait olduğunu da doğrulayın, çünkü eski dosyanın başka bir şey beklediği yerde başka bir örnek ya da başka bir hizmet dinliyor olabilir.

Desteklenen bir profili aynı kaynaktan yeniden dışa aktarmak ucuz bir karşılaştırmadır, çünkü yapılandırıldığını düşündüğünüz şey ile istemcinin gerçekte gönderdiği şey arasındaki kaymayı ortadan kaldırır. Yeni anahtar malzemesi üretmek çok daha büyük bir adımdır ve yalnızca iki taraf da onu birlikte benimserse yardımcı olur. Bir tarafı yerel olarak değiştirmek, kaldırmaya çalıştığınız uyuşmazlığı yeniden yaratır.

Denetim kanalını veri kanalıyla karşılaştırın

İki mekanizma bir bağlantının farklı bölümlerini doğrular ve ayrı ayrı yapılandırılır; 2.6 seçenek başvurusu bunu açıklar. tls-auth denetim kanalı paketlerine bir HMAC ekler ve iki uçta birbirine zıt olması gereken bir yön argümanı alır; tls-crypt ise denetim kanalını bunun yerine paylaşılan bir anahtarla korur. Hiçbiri veri kanalının kendi bütünlük denetimi değildir. Bir AEAD veri şifrelemesiyle bu denetim şifrelemenin içine yerleştirilmiştir, bu yüzden ayrı auth özeti AEAD olmayan bir şifrelemedeki gibi kullanılmaz.

Yani çalışan bir AEAD olmayan kurulumdan kopyalanan bir auth satırı AEAD kurulumunda ilgisiz olabilir ve tls-auth anahtarı ya da yönü yanlışsa AEAD kurulumu yine de denetim kanalında başarısız olabilir. Her ayarı hatırlanan bir yapılandırmayla değil, karşı tarafla karşılaştırın.

Onarımı vazgeçtiğiniz özellikle karşılaştırın

Paket kimlik doğrulamasını devre dışı bırakmak uyarıyı susturur ve uyuşmazlığı bulan denetimi kaldırır; bu, profili onarmakla aynı şey değildir. Hangi özellikten vazgeçtiğinizi ve tasarımın onsuz hâlâ ayakta kalıp kalmadığını sorun.

Herhangi bir şeyi değiştirmeden önce iki uçta ilk ilgili olayı okuyun, sonra yalnızca adlandırdığı uyuşmazlığı değiştirin.

Bir sonraki deneme bir sertifika ya da oturum açma hatasına ilerlerse bu gerileme değil ilerlemedir: paket katmanı artık uzlaşıyor ve bağlantı yol almıştır. Değişikliği üreten ayarları kaydedin, böylece sonraki kişi bir gizem yerine bir açıklama devralır.