Início / computer / Perguntas / 1814488
Accepted
M_D
Asked: 2023-10-29 01:58:09 +0800 CST

O que a diretiva 'auth' do OpenVPN faz?

  • 772

O que a diretiva ‘auth’ faz em um arquivo de configuração do OpenVPN?

Estou usando um sistema PKI com minha configuração OpenVPN, conforme detalhado aqui , e tudo está funcionando bem (o cliente IE se conecta ao servidor). No entanto, em nenhum lugar do meu arquivo de configuração do servidor ou cliente usei a diretiva 'auth'. Já vi nos arquivos de configuração de outras pessoas coisas assim:

auth SHA512

Preciso usar esta diretiva? Qual é o padrão do OpenVPN se eu não o especificar?

Desculpe, sou um pouco novo em criptografia, PKI etc. e quero fortalecer meu servidor OpenVPN o máximo possível. Por favor, indique quaisquer outras melhorias que devo fazer!

EDITAR:

Esta é a configuração do meu servidor:

port 23535
proto udp4
dev tun
ca "C:\\Program Files\\OpenVPN\\Keys\\ca.crt"
cert "C:\\Program Files\\OpenVPN\\Keys\\server.crt"
key "C:\\Program Files\\OpenVPN\\Keys\\server.key"
dh "C:\\Program Files\\OpenVPN\\Keys\\dh2048.pem"
tls-crypt-v2 "C:\\Program Files\\OpenVPN\\Keys\\server-tls-crypt-v2.key"
topology subnet
server 10.43.166.0 255.255.255.0
ifconfig-pool-persist ipp.txt
client-to-client
cipher AES-256-GCM
status openvpn-status.log
verb 4
explicit-exit-notify 1

e minha configuração do cliente:

setenv FRIENDLY_NAME "Test VPN."
client
dev tun
proto udp4
remote vpn.server.local 23535
resolv-retry infinite
nobind
remote-cert-tls server
cipher AES-256-GCM
verb 4
mute-replay-warnings


<ca>
REDACTED
</ca>

<cert>
REDACTED
</cert>

<key>
REDACTED
</key>

<tls-crypt-v2>
REDACTED
</tls-crypt-v2>
vpn

1 respostas

  1. Best Answer

    O manual de referência do OpenVPN 2.4 define o authparâmetro, que substitui esse mesmo parâmetro no arquivo de configuração, da seguinte forma:

    --auth alg

    Autentique pacotes de canais de dados e (se habilitado) pacotes de canais de controle tls-auth com HMAC usando algoritmo de resumo de mensagem alg. (O padrão é SHA1 ). HMAC é um algoritmo de autenticação de mensagem (MAC) comumente usado que usa uma sequência de dados, um algoritmo de hash seguro e uma chave para produzir uma assinatura digital. O protocolo de canal de dados OpenVPN usa encrypt-then-mac (ou seja, primeiro criptografa um pacote e depois HMAC o texto cifrado resultante), o que evita ataques oracle de preenchimento.

    Quanto à definição deste valor como SHA512, em vez do SHA1 padrão, isso é respondido na postagem OpenVPN usando SHA1 em vez de SHA512 pelo usuário TinCanTech:

    Só para você entender, usar SHA512 está desperdiçando ciclos de CPU em seus nós VPN.

    SHA1 é o padrão, pois é considerado suficientemente seguro. A autenticação de mensagens não é tão crítica como, por exemplo, na troca de chaves de certificados digitais.

    • 0

relate perguntas