8192 bitli kalitlar qo'l berishni to'xtatadi; 1024 bitli DH rad etiladi

Bitta serverda mijozlar bir muddat qotib qoladi va keyin qayta ulanadi, boshqasi esa kalit o'lchami haqidagi xabar bilan ulanishlarni darhol rad etadi. Ular har xil xatolardek ko'rinadi, aslida esa qarama-qarshi yo'nalishlarga qaratilgan bir xil xato. Qo'l berish kriptografiyasining parametr o'lchami bilan o'sadigan narxi bor, shuningdek zamonaviy kutubxonalar pastga tushmaydigan pastki chegarasi ham bor. Material o'lchamini aniqlash nazorat ro'yxatidir, birinchi band esa ikki xatoning qaysi biri haqiqatan sizda ekanini hal qilishdir.

Biror narsani qayta yaratishdan oldin nosozlikni o'qing

Vaqt sizga uning katta qismini aytadi. Bir necha soniya olib, keyin o'ladigan qo'l berish odatda hisoblash qarshi tomonning sabrini oshib ketganini bildiradi, bu apparat yoki muddat uchun juda katta parametrlarga ishora qiladi. Kalit yoki guruh o'lchamini aytadigan darhol rad etish narigi tomonga, kutubxona umuman qabul qilmaydigan materialga ishora qiladi.

Bu ikkisiga qarama-qarshi tuzatishlar kerak, va aynan shu yerda ko'p urinishlar xato qiladi. Kichik guruhni allaqachon rad etgan mijozda 8192 bitli parametrlarni qayta yaratish sekin holatni yanada yomonlashtiradi, tezkor holat uchun esa hech narsa qilmaydi. Faylga tegishdan oldin qanday alomat ko'rganingizni yozib qo'ying.

Keyin qarshi tomondan nima talab qilinayotganini tekshiring. Katta cheklangan maydon guruhiga sozlangan server har bir mijozni nafaqat ulanish paytida, balki har bir qayta muzokarada ham bir xil protsessor vaqtini sarflashga majbur qiladi. Agar muammo ishga tushishda emas, balki muntazam oraliqda paydo bo'lsa, bu oraliq qaysi sozlama qimmat ekaniga kuchli ishoradir. Qayta muzokara butun hisobni takrorlaydi, shuning uchun har soatda qaytadigan to'xtash odatda o'sha xarajatning qayta to'lanishidir.

Sekin holat: apparat ko'tara olmaydigan material

Diffie-Hellman va RSA ishi kalit o'lchami bilan tez o'sadi, va bularning barchasi tunnelda hech qanday trafik oqmasdan oldin sodir bo'ladi. Kichik router yoki kam quvvatli mijozda yetarlicha katta guruh almashinuvni narigi tomonning muddatidan oshirib yuborishi mumkin, natijada ulanish qayta urinadi yoki hech qanday xatosiz shunchaki qotib qolgandek ko'rinadi.

Tuzatish har bir qarshi tomon qo'llab-quvvatlaydigan va har bir qurilma bemalol hisoblay oladigan o'lchamga tushishdir. 2048 bitli RSA kaliti va 2048 bitli guruh keng mos keluvchi asosiy chiziq bo'lib qoladi; kattaroq faqat barcha tomonlar rozi bo'lganda va protsessor uni har bir qayta muzokarada to'lay olganda yordam beradi. Bu asosiy chiziqdan yuqori hamma narsa ataylab qilingan almashinuv, yangilanish emas.

O'lcham ball emas, va taqqoslash jadvalidagi eng katta raqam avtomatik ravishda to'g'ri tanlov emas. Siyosatingiz ruxsat beradigan va barcha qarshi tomonlar qabul qiladigan eng kichik qiymatni tanlang, keyin yaxshilandi deb taxmin qilish o'rniga qo'l berishni o'lchang. Hali ham muddatdan oshadigan kichikroq guruh o'lcham hech qachon butun hikoya bo'lmaganini aytadi.

Tezkor holat: kutubxona rad etadigan guruh

Zamonaviy OpenSSL qurilmalari eng kichik cheklangan maydon guruhlarini to'g'ridan-to'g'ri rad etadi, ko'tarilgan xavfsizlik darajasi esa pastki chegarani yanada yuqoriga suradi. O'n yillik parametr faylini olib yuradigan router proshivkasi odatiy manba, alomat esa guruh yoki kalit o'lchamini aytadigan xabar bilan darhol muvaffaqiyatsiz bo'ladigan ulanishdir. Bu nosozlikda hech narsa davriy emas, va aynan shu uni osongina tanib olish imkonini beradi.

Tekshiruvni chetlab o'tish uchun konfiguratsiyani tahrirlash o'rniga faylni almashtiring. Joriy guruh yarating, uni tasdiqlang, keyin demon haqiqatan o'qiydigan joyga o'rnating. Mijoz yangisi bilan muvaffaqiyatli ulanmaguncha eski faylni saqlang:

openssl dhparam -out /etc/openvpn/ffdhe2048.pem 2048
openssl dhparam -in /etc/openvpn/ffdhe2048.pem -check -noout
ls -l /etc/openvpn/ffdhe2048.pem

Tekshiruv buyrug'i faylni tasdiqlaydi va u o'tganda foydali hech narsa chop etmaydi; ro'yxat xizmat yuklaydigan faylni almashtirganingizni tasdiqlaydi, yonidagi eskirgan nusxani emas. Konfiguratsiyani o'sha yo'lga yo'naltiring, demonni qayta ishga tushiring va ilgari muvaffaqiyatsiz bo'lgan mijoz endi qo'l berishni tugatishini tasdiqlang.

Agar server xavfsizlik darajasi yoki sertifikat profilini ham o'rnatsa, guruh xato bo'lgan degan xulosaga kelishdan oldin ularni o'qing. Qattiqroq sinf talab qiladigan profil odatiy qabul qiladigan materialni rad etishi mumkin, va bu sozlamani olib tashlash tekshiruvni global o'chirishdan torroq o'zgarish.

Qarshi tomon va apparat uchun o'lcham tanlang

Ekzotik narsa yaratishdan oldin uzoq tomon nimani ko'tara olishini bilib oling. 2048 bitli guruh uchun juda eski qurilma almashtirilishi kerak qurilma, chunki serverni zaifroq guruhga yo'naltirish moslik shikoyatini faqat uzilishga aylantiradi. Barqaror tuzatishlar eski parametrlarga emas, yangi dasturiy ta'minotga qarab harakatlanadi. Bu sohadagi har bir vaqtinchalik istisno doimiy konfiguratsiyaga aylanish yo'lini topadi.

Chegara server protsessori bo'lsa, siyosatdan pastga tushish o'rniga algoritmni o'zgartiring. X25519 kabi elliptik egri kalit almashinuvi katta cheklangan maydon guruhidan ancha arzon va keng qo'llab-quvvatlanadi, bu uni ishlash shikoyatiga kichikroq RSA modulidan yaxshiroq javob qiladi.

Nima tanlasangiz ham, bitta haqiqiy ulanish bilan sinab ko'ring va qo'l berish qancha vaqt olishini kuzating, faqat oxirida ulanadimi-yo'qmi emas. O'n ikki soniyada muvaffaqiyatli bo'ladigan ulanish o'n beshda muvaffaqiyatsiz bo'ladigan bilan bir xil ildiz sababga ega.

Qayta qurish uni bekor qila olmasligi uchun tanlovni yozib qo'ying

Parametr faylini konfiguratsiya boshqaruvi ostida saqlang va yoniga o'lcham, sabab va sanani yozing. O'z odatiy qiymatlarini jimgina yaratadigan qayta qurilgan server — o'sha xato olti oydan keyin qaytib kelishining yo'li, va hech kim dastlabki qarorni tushuntira olmaydi.

Xuddi shu ma'lumotni endpoint va profil yoniga yozing, ko'rib chiqish uni fayl o'lchamidan qayta qurishi shart bo'lmasin. Keyingi ulanish qotib qolsa, o'sha eslatma besh daqiqalik tekshiruv va yangi tergov o'rtasidagi farq. Shuningdek, keyingi muhandis sekin holatni tezkor uchun mo'ljallangan tuzatish bilan hal qilishining oldini oladi.