web-dev-qa-db-ja.com

openvpn tls 1.2

Openvpnは、tls 1.2暗号との接続を確立できません。

TLS-DHE-RSA-WITH-AES-256-GCM-SHA384
TLS-DHE-RSA-WITH-AES-256-CBC-SHA256
TLS-DHE-RSA-WITH-AES-128-GCM-SHA256
TLS-DHE-RSA-WITH-AES-128-CBC-SHA256

他の誰かがそれを動かすことができるかどうか知りたいです。 （もしそうなら、どの暗号スイート）

はい、ソースからコンパイルされた現在のバージョン2.3.6を使用します。さまざまなLinuxディストリビューションとWindowsクライアントで試してみました。

以下のリンクで説明されているように、暗号はopenvpnで機能するはずです。 https://community.openvpn.net/openvpn/wiki/Hardening#Useof--tls-cipher

これは私がクライアントで提示するエラーです：

[... Desktop]$ Sudo openvpn home.ovpn 
Sat Jan 24 15:18:28 2015 OpenVPN 2.3.6 x86_64-unknown-linux-gnu [SSL (OpenSSL)] [LZO] [EPOLL] [MH] [IPv6] built on Jan 24 2015
Sat Jan 24 15:18:28 2015 library versions: OpenSSL 1.0.1l 15 Jan 2015, LZO 2.08
Sat Jan 24 15:18:28 2015 WARNING: file 'home/client1.key' is group or others accessible
Sat Jan 24 15:18:28 2015 WARNING: file 'home/ta.key' is group or others accessible
Sat Jan 24 15:18:28 2015 Control Channel Authentication: using 'home/ta.key' as a OpenVPN static key file
Sat Jan 24 15:18:28 2015 Outgoing Control Channel Authentication: Using 256 bit message hash 'SHA256' for HMAC authentication
Sat Jan 24 15:18:28 2015 Incoming Control Channel Authentication: Using 256 bit message hash 'SHA256' for HMAC authentication
Sat Jan 24 15:18:28 2015 Attempting to establish TCP connection with [AF_INET]192.168.1.67:1194 [nonblock]
Sat Jan 24 15:18:29 2015 TCP connection established with [AF_INET]192.168.1.67:1194
Sat Jan 24 15:18:29 2015 TCPv4_CLIENT link local: [undef]
Sat Jan 24 15:18:29 2015 TCPv4_CLIENT link remote: [AF_INET]192.168.1.67:1194
Sat Jan 24 15:18:29 2015 TLS_ERROR: BIO read tls_read_plaintext error: error:140830B5:SSL routines:SSL3_CLIENT_HELLO:no ciphers available
Sat Jan 24 15:18:29 2015 TLS Error: TLS object -> incoming plaintext read error
Sat Jan 24 15:18:29 2015 TLS Error: TLS handshake failed
Sat Jan 24 15:18:29 2015 Fatal TLS error (check_tls_errors_co), restarting
Sat Jan 24 15:18:29 2015 SIGUSR1[soft,tls-error] received, process restarting
Sat Jan 24 15:18:30 2015 SIGINT[hard,init_instance] received, process exiting

サーバーログ： http://Pastebin.com/DKR76FAy

同じ質問が以前に一度現れました： https://security.stackexchange.com/questions/73448/tls-authentication-on-openvpn-server

________________

部分的な解決策：

tls-version-min 1.2

この行をクライアントとサーバーの構成に追加することで、128ビットの暗号スイートを機能させることができます。 256ビットのバリアントはまだ成功しません。

tlsvpnopenvpn
1
misterix

TLS-DHE-RSA-WITH-AES-128-GCM-SHA256は問題なく動作しています（Arch Linuxのソースからコンパイルされた2.3.6で）。

ただし、OpenVPNではサーバー構成とクライアント構成の両方でtls-version-min 1.2設定が必要なようです。削除するとすぐに、まったく同じエラーが発生します。

1
Fleche

サーバーのログでは、暗号が有効になっている場合にのみ表示されます。

cipher_list = 'TLS-DHE-RSA-WITH-AES-256-CBC-SHA256'

おそらく、サーバー構成を編集して、補足の予想される暗号リストを追加する必要があります。

0
WhiteWinterWolf