auth xulosasi qaysi OpenVPN paketlarini himoya qiladi?
auth opsiyasi profil taklif qilganidan kamroq narsani qamrab oladi. Xulosa siyosatini belgilashdan oldin kanalni, AEAD holatini va boshqaruv kanali himoyasini ko'rib chiqing.
OpenVPN xulosalari haqidagi bahslarning ko'pchiligi noto'g'ri paketdan boshlanadi. auth SHA256 ni “faqat SHA256 taklif qiladigan sheriklarni qabul qil” deb o'qish birinchi navbatda unutish kerak bo'lgan narsa. Opsiya muayyan paketlar uchun xulosa nomlaydi va bu paketlar qaysi ekani kanalga hamda o'sha kanal AEAD ekaniga bog'liq. Quyidagi to'rt savolni tartib bilan ko'rib chiqing; har biri bu sozlama sizning joylashtirishingizda qanday ma'no berishi mumkinligini toraytiradi.
Sozlama himoya qilishi kerak bo'lgan kanalni nomlang
OpenVPN da TLS qo'l siqish trafigini tashuvchi boshqaruv kanali va tunnel yukini tashuvchi ma'lumot kanali mavjud. auth xulosasi ikkalasida ham rol o'ynaydi, lekin bir xil emas, va profil farqni kamdan-kam ko'rinadigan qiladi. Konfiguratsiya fayliga tegishdan oldin ikkalasidan qaysinisini cheklamoqchi ekaningizni yozib qo'ying.
Quyidagi jadval xuddi shu opsiyaning har bir kontekstda qanday joylashishining qisqa varianti.
| Context | What the auth digest does |
|---|---|
| Data channel without AEAD | Selects the HMAC digest that authenticates each data packet |
| Data channel with AEAD, such as GCM | Unused for the data channel; the cipher authenticates its own packets |
| Control channel protected by tls-auth | Selects the HMAC digest for that protection, even when data is AEAD |
Unga tayanishdan oldin ma'lumot kanali AEAD ekanini tekshiring
Agar kelishilgan ma'lumot shifri AES-GCM yoki CHACHA20-POLY1305 bo'lsa, ma'lumot kanali o'zini o'zi autentifikatsiya qiladi va alohida xulosa siz tasavvur qilgan ishni bajarmaydi. Ikkalasi ham AEAD konstruksiyalari, shuning uchun yaxlitlik yukni shifrlaydigan o'sha amal orqali hosil bo'ladi. Bu darajaning pasayishi emas, lekin “har bir ma'lumot paketi HMAC-SHA256” deb asoslangan siyosat o'sha tunnelda aslida noto'g'ri ekanini bildiradi. Siyosatni qayta yozishdan oldin kelishilgan qiymatni server jurnalida yoki mijoz holati chiqishida tasdiqlang.
Profildagi ro'yxat o'rniga haqiqatda kelishilgan shifrni tekshiring, chunki muzokaralar to'plamning boshqa a'zosiga tushishi mumkin. data-ciphers AES-256-GCM:AES-128-GCM muzokara ro'yxati va ikkala yozuv ham AEAD, shuning uchun ularning hech biri yuk himoyasi uchun auth xulosasini sarflamaydi.
Boshqaruv kanali himoyasini alohida qaror deb qabul qiling
tls-auth boshqaruv kanali paketlariga HMAC qo'shadi va xulosasini auth sozlamasidan oladi, shu sababli AEAD tunnelda ham mazmunli xulosa sozlangan bo'lishi mumkin. tls-crypt o'z qat'iy himoyasiga ega boshqa tartib, shuning uchun u tls-auth ning har bir xususiyatini meros oladi deb o'ylamang. Taxminlarni ular o'rtasida ko'chirish o'rniga tanlagan mexanizmingiz hujjatlarini o'qing.
Ikki sherik tartib va kalit yo'nalishi bo'yicha ham kelishishi kerak. Mos keladigan xulosa, lekin noto'g'ri yo'nalishda ishlatilgan kalit fayli xulosa sozlamasi tushuntira olmaydigan sabablar bilan muvaffaqiyatsiz bo'ladigan qo'l siqish hosil qiladi.
auth ni shifr muzokaralari va sertifikatlardan alohida saqlang
Uch sozlama doim aralashtiriladi: auth xulosasi, ma'lumot shifrlari ro'yxati va sertifikatning imzo algoritmi. Birinchisini o'zgartirish sertifikatni qayta bermaydi, uning imzo xulosasini tanlamaydi va foydalanuvchi-parol usulini yaratmaydi. Protokol opsiyalari ta'riflari OpenVPN 2.6 manbalarida har birini o'z bo'limida tavsiflaydi, bu ularning mustaqil tugmalar ekanini eslatadigan foydali eslatma.
Xulosa o'zgarganidan keyin sherik ulanishdan bosh tortsa, sabab odatda qolgan ikki sozlamadan biridagi nomuvofiqlik. Har qaysisini o'zgartirishdan oldin ikki tomonni o'qing.
Siyosatni yozing va uni ishlab turgan konfiguratsiyalar bilan solishtiring
Flot darajasidagi bayonot ruxsat etilgan ma'lumot kanali rejimlarini va tanlangan boshqaruv kanali himoyasini bir jumlada aniq nomlashi kerak. Bu jumla tekshiriladi; “biz SHA256 ishlatamiz” esa yo'q. Keyin uni ombordagi shablon bilan emas, amaldagi server va mijoz profillari bilan solishtiring.
Har bir tunnel aslida nima kelishganini va uning paketlarini qaysi mexanizm autentifikatsiya qilganini yozib yakunlang. Profildagi ko'rinadigan auth qatori faqat konfiguratsiya niyatining dalilidir va niyat tekshiruvning eng arzon qismidir.