OpenVPN TLS şifre hatası: önce iki tarafı karşılaştırın

«Ortak şifre yok» hatası tek bir ayarın değiştirilmesi gerektiği gibi duyulur, oysa çoğu kişinin değiştirdiği ayar yanlış olandır. OpenVPN TLS el sıkışmasını yapan denetim kanalı için ve tünelin içinde paket taşıyan veri kanalı için ayrı politikalar tutar, hata ise birincisini adlandırırken insanlar ikincisini düzenler. Her tarafın neye izin verdiğini doğru sırayla karşılaştırmak tahmini iki ya da üç karara çevirir: sürüm, sonra paket listesi, sonra kimlik bilgileri.

Bu sırayı karıştırırsanız hiç okunmamış bir listeye AES adı eklemekle bir saat geçirebilirsiniz.

İki şifre listesi ve el sıkışmayı yalnızca biri bozar

Denetim kanalı bir TLS oturumu üzerinde anlaşır ve politikası şununla yazılır: tls-cipher TLS 1.2 için ve tls-ciphersuites TLS 1.3 için. Veri kanalı ayrı olarak şununla yapılandırılır: data-ciphers, burada uyuşmazlık kurulan ama sonra trafiği geçiremeyen bir bağlantı üretir. İkisi de şifrelerden söz eden hatalar verir, bu yüzden karıştırılırlar. Hiç tamamlanmayan el sıkışma denetim kanalını işaret ederken, kurulmuş tünel paket düşürüyorsa veri kanalını işaret eder.

İlk satırı değil, iletinin tamamını okuyun. Sürüm uyuşmazlığı, eksik paket, tarafın reddettiği sertifika imza algoritması ve ana bilgisayar adı doğrulamasının başarısız olması hepsi TLS hatasıyla biter ve bunlardan yalnızca biri sizin paket listenizle ilgilidir. Bu kategorileri ayırmak teşhisin büyük kısmıdır.

Paketleri karşılaştırmadan önce sürümleri karşılaştırın

TLS 1.2 ile sınırlı bir taraf ile 1.3 isteyen bir taraf hiçbir sürümü paylaşmaz ve hiçbir şifre dizesi bunu köprülemez. Her iki tarafta tls-version-min ve tls-version-max değerlerini yazın ya da kullanılan derlemelerin varsayılanlarını, çünkü bir dağıtımın OpenSSL politikası hiçbir OpenVPN seçeneği söylemeden alt sınırı yükseltebilir. Taraflardan biri cihaz ya da üçüncü taraf istemcisiyse penceresi, yazılımının izin verdiği kadardır. Paket karşılaştırması ancak pencereler örtüştükten sonra anlam kazanır.

Bu kayıtlar gerçek ikili dosyaları da adlandırmalı. Dizüstü bilgisayarınızdaki komut satırı openvpn içe aktarılmış bir profili işleyen istemci olmak zorunda değildir.

TLS 1.2 ve TLS 1.3 listeleri karışmaz

TLS 1.2 paket adları şöyle görünür: ECDHE-RSA-AES256-GCM-SHA384 ve şuna aittir: tls-cipher, bu ayar bir OpenSSL şifre dizesi kabul eder. TLS 1.3 paketleri şöyle adlandırılır: TLS_AES_256_GCM_SHA384 ve şuna aittir: tls-ciphersuites; 1.2 dizesine bir tane eklemek 1.3 listesini yapılandırmaz ve ayrıştırıcı metni hiç eşleştirmeden kabul edebilir. Bir sürüm için doğru olan süzgeç diğeri hakkında hiçbir şey söylemez. Hangi listenin hangi sürüm için olduğunu yazın.

openvpn --show-tls yerel derlemenin neyi desteklediğini yazdırır ve bu bir envanterdir, söz değil: uzak taraf o paketlere izin vermeyebilir ve etkin profil onları etkinleştirmeyebilir. Hiç paket sunamayan bir derlemeyi elemek için kullanın, sonra yapılandırılmış listeleri karşılaştırın.

Anlaşmayı yeni bir bağlantıda kanıtlayın

Başarılı el sıkışma sayılan tek kanıttır ve gerçek istemciden gerçek profille gelmelidir. Sunucunun ayrıntı düzeyini yükseltin, bir kez bağlanın ve ilk sunulan değerin kazandığını varsaymak yerine günlükten anlaşılan protokol sürümünü ve paketi okuyun. Ardından veri kanalını tünelden geçen trafikle ayrıca doğrulayın, çünkü çalışan bir el sıkışma ile başarısız bir veri kanalı farklı onarımlardır. Her yapılandırma değişikliğinden sonra yineleyin, çünkü eskimiş istemci profili yaygın bir yanlış negatiftir.

Onaylanmış ortak bir yapılandırma yoksa yanıt yükseltme ya da geçiş planıdır, zayıflatılmış bir politika değil. tls-version-min değerini düşürmek, doğrulamayı kapatmak veya tüm eski paketleri etkinleştirmek onu doğuran güvenlik gereksinimini karşılamadan reddi ortadan kaldırır.

Değişiklik kaydına anlaşılan sürümü, paketi ve veri şifresini yazın. Bir dahaki sefere TLS hatasıyla karşılaşan kişi bir forum gönderisinde bulunan şifre dizesinden değil, o kayıttan başlayacaktır.