OpenVPN'da TLS shifr xatosi: avval ikkala tomonni solishtiring

«Umumiy shifr yo'q» xatosi bitta sozlamani o'zgartirish kerakdek eshitiladi, lekin ko'pchilik o'zgartiradigan sozlama noto'g'ri. OpenVPN TLS qo'l siqishini bajaradigan boshqaruv kanali va tunnel ichida paketlarni tashuvchi ma'lumot kanali uchun alohida siyosatlar saqlaydi, xato esa birinchisini nomlaydi, odamlar ikkinchisini tahrirlaydi. Har bir tomon nimaga ruxsat berishini to'g'ri tartibda solishtirish taxminni ikki yoki uch qarorga aylantiradi: versiya, keyin to'plam ro'yxati, keyin hisob ma'lumotlari.

Bu tartibni xato qilsangiz, hech qachon ko'rilmagan ro'yxatga AES nomini qo'shish bilan bir soat o'tkazishingiz mumkin.

Ikki shifr ro'yxati, qo'l siqishni faqat bittasi buzadi

Boshqaruv kanali TLS sessiyasi bo'yicha kelishadi va uning siyosati shu bilan yoziladi: tls-cipher TLS 1.2 uchun va tls-ciphersuites TLS 1.3 uchun. Ma'lumot kanali alohida shu bilan sozlanadi: data-ciphers, bu yerda nomuvofiqlik o'rnatilgan, keyin trafikni o'tkaza olmaydigan ulanish hosil qiladi. Ikkalasi ham shifrni eslatuvchi xatolar beradi, shuning uchun ular chalkashtiriladi. Hech qachon tugamaydigan qo'l siqish boshqaruv kanalini ko'rsatadi, o'rnatilgan tunnel paketlarni tashlasa, u ma'lumot kanalini ko'rsatadi.

Birinchi qatorni emas, butun xabarni o'qing. Versiya nomuvofiqligi, yetishmayotgan to'plam, tomon rad etadigan sertifikat imzo algoritmi va xost nomini tekshirishning muvaffaqiyatsizligi — hammasi TLS xatosi bilan tugaydi va ulardan faqat bittasi sizning to'plam ro'yxatingizga tegishli. Bu toifalarni ajratish diagnostikaning katta qismi.

To'plamlarni solishtirishdan oldin versiyalarni solishtiring

TLS 1.2 bilan cheklangan tomon va 1.3 talab qiladigan tomon umumiy versiyaga ega emas va buni hech qanday shifr satri bog'lamaydi. Ikkala tomonda tls-version-min va tls-version-max yozib qo'ying yoki ishlatilayotgan buildlarning standart qiymatlarini, chunki distributivning OpenSSL siyosati hech qanday OpenVPN opsiyasi aytmasdan pastki chegarani ko'tarishi mumkin. Agar bir tomon qurilma yoki uchinchi tomon mijozi bo'lsa, uning oynasi firmware ruxsat bergan narsa. To'plamlarni solishtirish faqat oynalar ustma-ust tushgandan keyin ma'noga ega.

Bu yozuvlar haqiqiy binar fayllarni ham nomlashi kerak. Noutbukingizdagi buyruq satridagi openvpn import qilingan profilni boshqaradigan mijoz bo'lishi shart emas.

TLS 1.2 va TLS 1.3 ro'yxatlari aralashmaydi

TLS 1.2 to'plam nomlari shunday ko'rinadi: ECDHE-RSA-AES256-GCM-SHA384 va ular shunga tegishli: tls-cipher, u OpenSSL shifr satrini qabul qiladi. TLS 1.3 to'plamlari shunday nomlanadi: TLS_AES_256_GCM_SHA384 va ular shunga tegishli: tls-ciphersuites; 1.2 satriga bittasini qo'shish 1.3 ro'yxatini sozlamaydi va parser matnni hech qachon moslashtirmasdan qabul qilishi mumkin. Bir versiya uchun to'g'ri filtr ikkinchisi haqida hech narsa demaydi. Qaysi ro'yxat qaysi versiya uchun ekanini yozib qo'ying.

openvpn --show-tls mahalliy build nimani qo'llab-quvvatlashini chop etadi va bu ro'yxat, va'da emas: uzoq tomon bu to'plamlarga ruxsat bermasligi mumkin, faol profil ularni yoqmasligi mumkin. Undan hech qanday to'plam taklif qila olmaydigan buildni chetlab o'tish uchun foydalaning, keyin sozlangan ro'yxatlarni solishtiring.

Kelishuvni yangi ulanishda isbotlang

Muvaffaqiyatli qo'l siqish hisobga olinadigan yagona dalil va u haqiqiy mijozdan haqiqiy profil bilan kelishi kerak. Serverning batafsilligini oshiring, bir marta ulanib, birinchi taklif qilingan qiymat yutdi deb o'ylash o'rniga jurnaldan kelishilgan protokol versiyasi va to'plamni o'qing. Keyin ma'lumot kanalini tunneldan o'tadigan trafik bilan alohida tasdiqlang, chunki ishlaydigan qo'l siqish va muvaffaqiyatsiz ma'lumot kanali turli tuzatishlar. Har qanday konfiguratsiya o'zgarishidan keyin takrorlang, chunki eskirgan mijoz profili keng tarqalgan soxta salbiy natija.

Agar tasdiqlangan umumiy konfiguratsiya bo'lmasa, javob yangilash yoki migratsiya rejasi, zaiflashtirilgan siyosat emas. tls-version-min qiymatini pasaytirish, tekshirishni o'chirish yoki barcha eski to'plamlarni yoqish uni keltirib chiqargan xavfsizlik talabini bajarmasdan rad etishni olib tashlaydi.

O'zgartirish chiptasida kelishilgan versiya, to'plam va ma'lumot shifrini yozing. Keyingi safar TLS xatosiga duch kelgan kishi forum postida topilgan shifr satridan emas, o'sha yozuvdan boshlaydi.