☰

Suites de cifrado OpenVPN TLS 1.2

tag-icon • tag-icon vpn openvpn tls
Suites de cifrado OpenVPN TLS 1.2

Esta es una nueva publicación de mi pregunta original (OpenVPN no puede establecer conexión con ningún cifrado TLS 1.2) El problema se divide en dos porque se encontró una solución para los conjuntos de cifrado de 128 bits.

OpenVPN no puede conectarse con estos conjuntos de cifrado:

TLS-DHE-RSA-WITH-AES-256-GCM-SHA384
TLS-DHE-RSA-WITH-AES-256-CBC-SHA256

Me gustaría saber si alguien más los está utilizando con éxito.

Ejecuto la versión actual2.3.6, compilado desde la fuente.

Probado con varias distribuciones de Linux y clientes de Windows.

Según la wiki, los cifrados deberían estar funcionando: https://community.openvpn.net/openvpn/wiki/Hardening#Useof--tls-cipher

Error del cliente:

[... Desktop]$ sudo openvpn home.ovpn 
Sat Jan 24 15:18:28 2015 OpenVPN 2.3.6 x86_64-unknown-linux-gnu [SSL (OpenSSL)] [LZO] [EPOLL] [MH] [IPv6] built on Jan 24 2015
Sat Jan 24 15:18:28 2015 library versions: OpenSSL 1.0.1l 15 Jan 2015, LZO 2.08
Sat Jan 24 15:18:28 2015 WARNING: file 'home/client1.key' is group or others accessible
Sat Jan 24 15:18:28 2015 WARNING: file 'home/ta.key' is group or others accessible
Sat Jan 24 15:18:28 2015 Control Channel Authentication: using 'home/ta.key' as a OpenVPN static key file
Sat Jan 24 15:18:28 2015 Outgoing Control Channel Authentication: Using 256 bit message hash 'SHA256' for HMAC authentication
Sat Jan 24 15:18:28 2015 Incoming Control Channel Authentication: Using 256 bit message hash 'SHA256' for HMAC authentication
Sat Jan 24 15:18:28 2015 Attempting to establish TCP connection with [AF_INET]192.168.1.67:1194 [nonblock]
Sat Jan 24 15:18:29 2015 TCP connection established with [AF_INET]192.168.1.67:1194
Sat Jan 24 15:18:29 2015 TCPv4_CLIENT link local: [undef]
Sat Jan 24 15:18:29 2015 TCPv4_CLIENT link remote: [AF_INET]192.168.1.67:1194
Sat Jan 24 15:18:29 2015 TLS_ERROR: BIO read tls_read_plaintext error: error:140830B5:SSL routines:SSL3_CLIENT_HELLO:no ciphers available
Sat Jan 24 15:18:29 2015 TLS Error: TLS object -> incoming plaintext read error
Sat Jan 24 15:18:29 2015 TLS Error: TLS handshake failed
Sat Jan 24 15:18:29 2015 Fatal TLS error (check_tls_errors_co), restarting
Sat Jan 24 15:18:29 2015 SIGUSR1[soft,tls-error] received, process restarting
Sat Jan 24 15:18:30 2015 SIGINT[hard,init_instance] received, process exiting

Respuesta1

Sí, esto debería funcionar y funciona para mí:

$ openvpn --config loopback-client --tls-cipher TLS-DHE-RSA-WITH-AES-256-GCM-SHA384 --tls-version-min 1.0
Thu Jan 29 00:13:13 2015 OpenVPN 2.3.6 x86_64-unknown-linux-gnu [SSL (OpenSSL)] [LZO] [EPOLL] [PKCS11] [MH] [IPv6] built on Dec 16 2014
Thu Jan 29 00:13:13 2015 library versions: OpenSSL 1.0.1f 6 Jan 2014, LZO 2.06
[...]
Thu Jan 29 00:13:13 2015 Control Channel: TLSv1.2, cipher TLSv1/SSLv3 DHE-RSA-AES256-GCM-SHA384, 2048 bit RSA
Thu Jan 29 00:13:13 2015 [Test-Server] Peer Connection Initiated with [AF_INET]127.0.0.1:16000
Thu Jan 29 00:13:14 2015 Initialization Sequence Completed

Esto utiliza los archivos de configuración predeterminados del servidor loopback y del cliente loopback proporcionados con openvpn. Asegúrese de agregar tls-version-min 1.0(o 1.2, si desea aplicar eso) a las configuraciones en ambos extremos. Aparte de eso, no hice nada especial.

¿Es específicamente AES-256 el problema? Es decir, ¿obtiene el mismo comportamiento con TLS-DHE-RSA-WITH-AES-128-CBC-SHA frente a TLS-DHE-RSA-WITH-AES-256-CBC-SHA?

información relacionada