Cách OpenVPN data-ciphers chọn thuật toán mã hóa cho kênh dữ liệu

Đường hầm được thiết lập, nhật ký hiển thị một thuật toán mã hóa và phần rà soát hồ sơ tiếp tục. Rồi một bản nâng cấp đến ở một đối tác và chính hồ sơ đó thất bại với thông báo không có thuật toán mã hóa chung, khiến người ta đi tìm một chỉ thị để xóa. Điều hữu ích cần hiểu là data-ciphers mô tả một cuộc thương lượng, không phải một thiết lập. Một bên đưa ra danh sách, bên kia chọn từ đó, và kết quả là một thuật toán duy nhất mà cả hai hỗ trợ. Đọc cuộc trao đổi đó giải thích phần lớn những lỗi này trước khi bạn thay đổi một dòng.

Hai kênh, hai cấu hình

Một phiên OpenVPN có một kênh điều khiển và một kênh dữ liệu. Kênh điều khiển chạy quá trình bắt tay TLS để xác thực các đối tác và thương lượng khóa. Kênh dữ liệu mã hóa các gói tin mang lưu lượng của bạn.

data-ciphers cấu hình kênh thứ hai. Kênh điều khiển có các tùy chọn riêng, và các kiểm tra danh tính của hồ sơ là vấn đề thứ ba, tách biệt. Thay đổi cái này không sửa cái kia, vì vậy một hồ sơ có thể trông đúng mà vẫn thất bại ở một giai đoạn cụ thể.

Hãy giữ ba thứ trong các ô riêng khi bạn đọc tệp cấu hình.

Đọc cuộc thương lượng từ nhật ký

Nhật ký máy khách nêu cả hai kết quả khi kết nối thành công. Một dòng báo cáo kênh điều khiển và các chi tiết TLS của nó, và một dòng khác báo cáo thuật toán mã hóa của kênh dữ liệu đã được chọn.

Đọc cả hai, vì chúng trả lời những câu hỏi khác nhau. Sự cố của kênh điều khiển dừng kết nối trước khi bất kỳ thuật toán mã hóa dữ liệu nào trở nên quan trọng. Sự không khớp của kênh dữ liệu xuất hiện sau một lần bắt tay thành công, với thông báo không có thuật toán mã hóa chung.

Sau đó so sánh các danh sách được đưa ra ở cả hai bên. Một tên mà phiên bản của một đối tác hoặc phần nền mật mã của nó không cung cấp thì không thể được chọn, dù nó xuất hiện sớm đến đâu trong danh sách của đối tác kia.

Việc chọn thực sự diễn ra thế nào

Máy chủ đẩy danh sách data-ciphers của mình tới máy khách trong quá trình bắt tay, và máy khách chọn mục đầu tiên trong danh sách đó mà nó cũng hỗ trợ. Do đó thứ tự thuộc về cấu hình của máy chủ, không phải của máy khách.

Chi tiết đó giải thích một loại kết quả khó hiểu. Sắp xếp lại danh sách của máy khách không thay đổi gì khi danh sách của máy chủ quyết định. Thêm một thuật toán mã hóa mà máy khách không thể cung cấp cũng không thay đổi gì, vì máy khách phải có thể dùng mục mà nó chọn.

Các bản phát hành mới hơn đã thay đổi danh sách mặc định và đổi tên tùy chọn từng chứa nó, nên hai đối tác trên các phiên bản khác nhau có thể bất đồng mà không ai sửa hồ sơ. Hãy kiểm tra phiên bản ở mỗi bên trước khi cho rằng đó là lỗi đánh máy.

Một danh sách không phải là bảng xếp hạng sức mạnh theo nghĩa trừu tượng. Đó là một tập ứng viên, và mục được chọn là mục đầu tiên được cả hai bên hỗ trợ theo thứ tự của máy chủ. Đó là lý do hai danh sách trông khác nhau có thể thương lượng cùng một thuật toán mã hóa. Đó cũng là lý do hai danh sách trông giống hệt nhau có thể thất bại.

Các đối tác cũ cần một phương án dự phòng có chủ đích

Một đối tác hoàn toàn không thể thương lượng, vì nó cũ hơn cơ chế hoặc đã tắt cơ chế đó, cần một thỏa thuận tương thích được ghi lại. Tùy chọn dự phòng tồn tại chính xác cho trường hợp đó và áp dụng cho các đối tác không tham gia thương lượng.

Đó không giống với việc bật mọi thuật toán mã hóa cũ để một thông báo biến mất. Một danh sách rộng làm yếu phiên cho mọi đối tác, kể cả những đối tác lẽ ra đã thương lượng được thứ gì đó mạnh.

Hãy phối hợp hai bên thay vì sửa các tên thuật toán không liên quan. Nếu một bản nâng cấp máy chủ đã bỏ một tùy chọn cũ, bản sửa thuộc về kế hoạch phiên bản, không phải một cuộc chạy đua ở máy khách.

Giữ nguyên vẹn việc xác minh

Sự không khớp của kênh dữ liệu không phải là lý do để chấp nhận một máy chủ chưa được xác minh. Việc xác minh chứng chỉ, tên máy chủ mong đợi và các thiết lập bảo vệ kênh điều khiển tách biệt khỏi việc chọn thuật toán mã hóa và phải tồn tại qua mọi thay đổi tương thích.

Ghi lại cùng nhau thuật toán mã hóa dữ liệu đã thương lượng, phiên bản máy khách và phiên bản máy chủ, để lần so sánh tiếp theo bắt đầu từ sự thật thay vì từ tệp hồ sơ.

Sau một bản sửa được hỗ trợ, hãy kiểm tra kết nối ban đầu và một lần thương lượng lại, vì một phiên được thiết lập một lần vẫn có thể thất bại khi khóa được gia hạn.

Nếu đường hầm được thiết lập mà các trang vẫn lỗi, thuật toán mã hóa không còn là nghi phạm. Hãy tiếp tục với định tuyến và DNS. Thứ tự công việc: đọc cả hai dòng nhật ký, so sánh cả hai danh sách, kiểm tra các phiên bản, chỉ thêm dự phòng cho một đối tác cần nó, rồi kiểm tra lại đường gia hạn.