Fáìlì DH tàbí kọ́kọ́rọ́ tls-auth? Ìyàtọ̀ fáìlì OpenVPN méjì

Fáìlì méjì, ìtọ́ni méjì, àti àṣà láti pe àwọn méjèèjì ní orúkọ ohun tí wọ́n ń ṣètò. Bẹ́ẹ̀ ni dh.pem ṣe wọ inú ìlà tls-auth, kí alátìlẹ́yìn kùnà pẹ̀lú ìfiránṣẹ́ nípa ọ̀nà kọ́kọ́rọ́ àìròtẹ́lẹ̀. Ìpinnu tó wà níwájú rẹ kì í ṣe èyí tí fáìlì tó lágbára. Ìlànà wo ni ìgbékalẹ̀ náà nílò gan-an ni, àwọn ipò mẹ́ta sì pinnu rẹ̀: ìyípadà kọ́kọ́rọ́ wo ni TLS stack rẹ yóò dúnàdúrà, bóyá o fẹ́ ìjẹ́rìí kánáà ìṣàkóso, àti bóyá ohun èlò náà gbọ́dọ̀ wà ní àṣírí.

Dáhùn wọn ní ìtẹ̀léra, ìbéèrè fáìlì yóò dáhùn fúnra rẹ̀. Tí o bá kọ̀ wọ́n sílẹ̀, orúkọ ìtọ́ni bẹ̀rẹ̀ sí í dàbí èyí tí a lè pààrọ̀, àṣìṣe sì ti ibẹ̀ wá.

Ka àmì kí o tó ka orúkọ fáìlì

Ìlà àkọ́kọ́ fáìlì sọ púpọ̀ ju orúkọ rẹ̀ lọ, nítorí orúkọ jẹ́ àṣà ènìyàn, àmì sì jẹ́ ohun tí irinṣẹ́ ń ṣe. Àwọn pàràmítà Diffie-Hellman ń gbé àmì PEM BEGIN DH PARAMETERS. Kọ́kọ́rọ́ dúró ṣinṣin OpenVPN jẹ́ ìṣètò mìíràn pátápátá, pẹ̀lú orí rẹ̀ àti ẹrù ẹ̀ẹ́dẹ́mẹ́rìndínlógún.

Pípààrọ̀ orúkọ kò yí ohunkóhun padà. Fáìlì pàràmítà tí orúkọ rẹ̀ jẹ́ ta.key ṣì jẹ́ pàràmítà, kọ́kọ́rọ́ dúró ṣinṣin tí orúkọ rẹ̀ jẹ́ dh.pem ṣì jẹ́ kọ́kọ́rọ́ dúró ṣinṣin; olùtúpalẹ̀ ń ka àkóónú, ó sì kọ̀ àìbáramu. Ṣàyẹ̀wò kí o tó ṣàtúnṣe profáìlì:

head -n 1 dh.pem
head -n 1 ta.key

Àwọn ipò mẹ́ta tó pinnu fáìlì tí o nílò

Ipò àkọ́kọ́ ni ìyípadà. Ìfọwọ́bọ̀ Diffie-Hellman nínú pápá ààlà nílò ẹgbẹ́ kan, ìtọ́ni dh sì ni ibi tí olùpín ń dárúkọ àwọn pàràmítà fún un. Ìfọwọ́bọ̀ orí ìlà ìsẹ̀mí kò nílò fáìlì yẹn rárá, nítorí ìlà ìsẹ̀mí ni àkójọ pàràmítà fúnra rẹ̀. Tí olùpín rẹ bá ń dúnàdúrà àwọn ètò ECDHE nìkan, fáìlì DH jẹ́ ẹrù tó kú, kì í ṣe agbára àfikún.

Ipò kejì ni ìjẹ́rìí kánáà ìṣàkóso, ẹ̀yà ọ̀tọ̀ tó ní ohun èlò rẹ̀ fúnra rẹ̀. Fáìlì tls-auth jẹ́ kọ́kọ́rọ́ dúró ṣinṣin tí a pín tí ẹ̀gbẹ́ méjèèjì ní, tí a ń lò láti fi ọwọ́ sí àwọn pákẹ́tì kánáà ìṣàkóso kí ẹ̀gbẹ́ tí a kò jẹ́rìí rẹ̀ má baà lè parí ìfọwọ́bọ̀ pàápàá. Ó wà bóyá o ń lo DH pápá ààlà tàbí rárá, kò sì ní í ṣe pẹ̀lú àwọn pàràmítà ẹgbẹ́.

Ipò kẹta ni àṣírí àti pínpín. A lè tẹ àwọn pàràmítà DH jáde láìsí dídín agbára ìpàdé kù, nítorí àwọn iye àṣírí ni a ń dá fún ìfọwọ́bọ̀ kọ̀ọ̀kan, wọn kì í sì í fi ẹ̀gbẹ́ sílẹ̀. Kò gbọ́dọ̀ tẹ kọ́kọ́rọ́ dúró ṣinṣin jáde: ó jẹ́ báìtì kan náà ní ẹ̀gbẹ́ méjèèjì, kì í yí ká fúnra rẹ̀, ẹnikẹ́ni tó bá sì ní í lè ṣe àwọn ìwé ẹ̀rí kánáà ìṣàkóso tó wúlò. Àwọn ìdáhùn méjì yẹn ń tọ́ka sí àwọn ìlànà ìmúlò tó yàtọ̀ pátápátá, ìdí nìyẹn tí fáìlì kan fi lè wà nínú ibi ìpamọ́ tí èkejì kò lè wà.

Ṣe ohun èlò tó tọ́ fún ìlànà kọ̀ọ̀kan

Lo irinṣẹ́ tó ń ṣe ọ̀nà tí ìtọ́ni ń retí, dípò yíyí padà láàrín wọn. Fún kọ́kọ́rọ́ tí a pín lórí OpenVPN 2.6, ọ̀nà tí a fi àmì sí ti olùdá ń sọ ète rẹ̀ ní àkíyèsí.

openvpn --genkey tls-auth ta.key

Pàṣẹ yẹn ń dá ohun èlò àṣírí tuntun; kò túnṣe tàbí ṣàyẹ̀wò kọ́kọ́rọ́ tó wà tẹ́lẹ̀, pípẹ̀ṣẹ̀ rẹ̀ lẹ́ẹ̀kan sí i yóò fún ọ ní kọ́kọ́rọ́ mìíràn tí àwọn ẹ̀gbẹ́ mìíràn kò ní. Dà á kóòpù fáìlì tó jáde sí àwọn ẹ̀gbẹ́ tó nílò rẹ̀ nípasẹ̀ ọ̀nà tí ìwọ yóò lò fún àṣírí pínpín kankan, kí o sì mú àṣà ìtọ́sọ́nà dúró gbágede: pẹ̀lú tls-auth, ẹ̀gbẹ́ kan ń lo key-direction 0, èkejì ń lo key-direction 1.

Àwọn pàràmítà DH, nígbà tí wọ́n bá yẹ, wá láti inú dídá pàràmítà kì í ṣe láti olùdá kọ́kọ́rọ́, orísun wọn sì ṣe pàtàkì bí ó tilẹ̀ jẹ́ pé àbájáde jẹ́ gbangba. Ẹgbẹ́ tí a gbà láti orísun àìmọ̀ kò di aláìléwu nítorí pé ó jẹ́ gbangba; ó ṣì gbọ́dọ̀ jẹ́ ẹgbẹ́ tí àwọn ẹ̀gbẹ́ rẹ gbà, àti èyí tí ìwọ̀n tàbí ìkọ́ rẹ̀ kò dín agbára rẹ̀ kù.

Kí ni dh none túmọ̀ sí àti kí ni kò túmọ̀ sí

dh none jẹ́ ìtọ́ni gidi pẹ̀lú ìtumọ̀ tóóró: kò sí fáìlì pàràmítà pápá ààlà tí yóò gbé wọlé, nítorí ìfọwọ́bọ̀ ń lo Diffie-Hellman orí ìlà ìsẹ̀mí. Kì í ṣe ọ̀rọ̀ kúkúrú fún «fo ìgbésẹ̀ DH kọjá» ní ìtumọ̀ dídín agbára ohunkóhun kù, kò sì sọ fún OpenVPN láti gba fáìlì mìíràn gẹ́gẹ́ bí àròpọ̀.

Àṣìṣe méjì ń jáde láti ìkàwé tí kò tọ́. Èkíní ni ríronú pé dh none yóò mú àìní tls-auth kúrò, nígbà tí àwọn méjèèjì ń ṣàkóso ohun tó yàtọ̀. Èkejì ni fífi ìlà dh àtijọ́ dúró lẹ́gbẹ̀ẹ́ ìṣètò ìlà ìsẹ̀mí nìkan kí o sì ṣe àwákírí fáìlì tí olùpín ń lò gan-an; tí ìtọ́ni bá wà, a ó ka fáìlì náà, ọ̀nà tó ti ṣẹ́ níbẹ̀ yóò sì mú ìbẹ̀rẹ̀ kùnà fún ìdí tí kò ní í ṣe pẹ̀lú ìyípadà tí a ó dúnàdúrà.

Tí a bá ti gbé fáìlì tí kò tọ́ kalẹ̀ tẹ́lẹ̀

Mú àṣírí tí a pète padà láti ọ̀dọ̀ onílé profáìlì, kí o má sì fi ọwọ́ kan ìjẹ́rìí ìwé-ẹ̀rí nígbà tí o ń ṣe bẹ́ẹ̀. Ìkùnà ni àìbáramu ọ̀nà, kì í ṣe ìkùnà ìgbẹ́kẹ̀lé, pípa ìjẹ́rìí dúró láti forí àṣìṣe kọjá ń fi ìṣòro ìbẹ̀rẹ̀ rọ́pò pẹ̀lú ìṣòro tó dákẹ́.

Lẹ́yìn náà ya àwọn ìṣẹ̀lẹ̀ méjì tí àwọn ènìyàn máa ń so pọ̀ sọ́tọ̀. Títẹ fáìlì pàràmítà DH jáde kò ní ìpalára, nítorí àwọn pàràmítà jẹ́ gbangba látinú àpẹẹrẹ. Fífi kọ́kọ́rọ́ tls-auth hàn jẹ́ ìṣẹ̀lẹ̀ mìíràn: kọ́kọ́rọ́ ń jẹ́rìí àwọn pákẹ́tì kánáà ìṣàkóso fún gbogbo ẹ̀gbẹ́ tó ní í, nítorí náà ìparọ́rọ̀ gbọ́dọ̀ jẹ́ ìfọwọ́sowọ́pọ̀ káàkiri ìgbékalẹ̀, kì í ṣe èyí tí a ó fi sí orí ẹrù kan.

Àyẹ̀wò ìṣẹ́jú márùn-ún ń pinnu irú ipò tí o wà: ka ìlà àkọ́kọ́ fáìlì kọ̀ọ̀kan, jẹ́rìí ìtọ́ni tó ń tọ́ka sí i, kí o sì jẹ́rìí pé pínpín fáìlì náà bá ohun tí ohun èlò nílò mu. Iṣẹ́ tó kéré ju dídá PKI tó ń ṣiṣẹ́ lẹ́ẹ̀kan sí i ni, àti ohun tí àwọn ipò mẹ́ta ń tọ́ka sí nígbà gbogbo ni.