OpenVPN data-ciphers ma'lumot kanali shifrini qanday tanlaydi

Tunnel ko'tariladi, jurnal shifrni ko'rsatadi va profil ko'rigi davom etadi. So'ngra bir hamkorga yangilanish keladi va xuddi shu profil umumiy shifr yo'qligi haqidagi xabar bilan muvaffaqiyatsiz bo'ladi, bu odamlarni o'chiriladigan direktiva izlashga yuboradi. Tushunish foydali bo'lgan narsa shundaki, data-ciphers sozlamani emas, muzokarani tasvirlaydi. Bir tomon ro'yxat taklif qiladi, ikkinchisi undan tanlaydi va natija ikkalasi ham qo'llab-quvvatlaydigan bitta algoritmdir. Ushbu almashinuvni o'qish bir satrni o'zgartirishdan oldin bu nosozliklarning ko'pini tushuntiradi.

Ikki kanal, ikki konfiguratsiya

Bitta OpenVPN sessiyasida boshqaruv kanali va ma'lumot kanali bor. Boshqaruv kanali hamkorlarni autentifikatsiya qiluvchi va kalitlarni kelishib oluvchi TLS qo'l siqishini ishga tushiradi. Ma'lumot kanali sizning trafikingizni tashuvchi paketlarni shifrlaydi.

data-ciphers ikkinchisini konfiguratsiya qiladi. Boshqaruv kanalining o'z variantlari bor, profilning identifikatsiya tekshiruvlari esa uchinchi, alohida masala. Birini o'zgartirish ikkinchisini tuzatmaydi, shuning uchun profil to'g'ri ko'rinishi va baribir muayyan bosqichda muvaffaqiyatsiz bo'lishi mumkin.

Konfiguratsiya faylini o'qiyotganda uchtasini alohida qutilarda saqlang.

Muzokarani jurnaldan o'qing

Ulanish muvaffaqiyatli bo'lganda klient jurnali ikkala natijani nomlaydi. Bir satr boshqaruv kanali va uning TLS tafsilotlari haqida, boshqasi tanlangan ma'lumot kanali shifri haqida xabar beradi.

Ikkalasini ham o'qing, chunki ular turli savollarga javob beradi. Boshqaruv kanalidagi nosozlik har qanday ma'lumot shifri muhim bo'lishidan oldin ulanishni to'xtatadi. Ma'lumot kanalidagi nomuvofiqlik muvaffaqiyatli qo'l siqishdan keyin, umumiy shifr yo'qligi haqidagi xabar bilan paydo bo'ladi.

So'ngra ikkala tomondagi taklif qilingan ro'yxatlarni solishtiring. Bir hamkorning versiyasi yoki uning kripto asosi taqdim etmaydigan nom, boshqa hamkor ro'yxatida qanchalik erta paydo bo'lishidan qat'i nazar, tanlanishi mumkin emas.

Tanlov aslida qanday sodir bo'ladi

Server qo'l siqish paytida o'z data-ciphers ro'yxatini klientga yuboradi va klient o'sha ro'yxatdagi o'zi ham qo'llab-quvvatlaydigan birinchi yozuvni tanlaydi. Shuning uchun tartib klientning emas, serverning konfiguratsiyasiga tegishli.

Bu tafsilot chalkash natijalarning bir sinfini tushuntiradi. Server ro'yxati hal qilayotganda klient ro'yxatini qayta tartiblash hech narsani o'zgartirmaydi. Klient taqdim eta olmaydigan shifrni qo'shish ham hech narsani o'zgartirmaydi, chunki klient tanlagan yozuvdan foydalana olishi kerak.

Yangi versiyalar standart ro'yxatni o'zgartirdi va uni saqlab turgan variantni qayta nomladi, shuning uchun turli versiyalardagi ikki hamkor hech kim profilni tahrirlamasdan kelisha olmasligi mumkin. Matn xatosi deb o'ylashdan oldin har bir tomondagi versiyani tekshiring.

Ro'yxat mavhum ma'noda kuch reytingi emas. Bu nomzodlar to'plami va tanlangan server tartibidagi birinchi o'zaro qo'llab-quvvatlanadigan yozuvdir. Shuning uchun har xil ko'rinadigan ikki ro'yxat bir xil shifrni kelishib olishi mumkin. Shuning uchun ham bir xil ko'rinadigan ikki ro'yxat muvaffaqiyatsiz bo'lishi mumkin.

Eski hamkorlarga ataylab qilingan zaxira kerak

Mexanizmdan eski bo'lgani yoki uni o'chirib qo'ygani uchun umuman muzokara qila olmaydigan hamkor hujjatlashtirilgan moslik tartibiga muhtoj. Zaxira varianti aynan shu holat uchun mavjud va muzokaralarda qatnashmaydigan hamkorlarga taalluqli.

Bu xabar yo'qolishi uchun har bir eski shifrni yoqish bilan bir xil emas. Keng ro'yxat har bir hamkor uchun sessiyani zaiflashtiradi, kuchli narsani kelishib olganlar uchun ham.

Aloqasiz algoritm nomlarini tahrirlash o'rniga ikki tomonni muvofiqlashtiring. Agar server yangilanishi eski variantni olib tashlagan bo'lsa, tuzatish versiya rejasiga tegishli, klientdagi shoshilinch harakatga emas.

Tekshirishni buzilmagan holda saqlang

Ma'lumot kanalidagi nomuvofiqlik tekshirilmagan serverni qabul qilish uchun sabab emas. Sertifikat tekshiruvi, kutilgan server nomi va boshqaruv kanali himoya sozlamalari shifr tanlashdan alohida va har qanday moslik o'zgarishidan omon qolishi kerak.

Kelishilgan ma'lumot shifrini, klient versiyasini va server versiyasini birgalikda yozib qo'ying, shunda keyingi taqqoslash profil faylidan emas, faktlardan boshlanadi.

Qo'llab-quvvatlangan tuzatishdan so'ng boshlang'ich ulanishni va qayta muzokarani sinab ko'ring, chunki bir marta o'rnatilgan sessiya kalitlar yangilanganda baribir muvaffaqiyatsiz bo'lishi mumkin.

Agar tunnel o'rnatilsa va saytlar hali ham ishlamasa, shifr endi gumondor emas. Marshrutlash va DNS bilan davom eting. Ish tartibi: ikkala jurnal satrini o'qing, ikkala ro'yxatni solishtiring, versiyalarni tekshiring, zaxirani faqat unga muhtoj hamkor uchun qo'shing, so'ngra yangilanish yo'lini qayta sinab ko'ring.