質問: openvpn tls 1.2 openvpnは、tls 1.2暗号との接続を確立できません。tls-dhe-rsa-with-aes-256-gcm-sha384 tls-dhe-rsa-with-aes-256-cbc-sha256 tls-dhe-rsa-with-aes-128-gcm-sha256 tls-dhe-rsa-with-aes-128-cbc-sha256 他の誰かがそれを動かすことができるかどうか知りたいです。 (もしそうなら、どの暗号スイート)はい、ソースからコンパイルされた現在のバージョン2.3.6を使用します。さまざまなlinuxディストリビューションとwindowsクライアントで試してみました。以下のリンクで説明されているように、暗号はopenvpnで機能するはずです。 https://community.openvpn.net/openvpn/wiki/hardening#useof--tls-cipher これは私がクライアントで提示するエラーです:[... desktop]$ sudo openvpn home.ovpn sat jan 24 15:18:28 2015 openvpn 2.3.6 x86_64-unknown-linux-gnu [ssl (openssl)] [lzo] [epoll] [mh] [ipv6] built on jan 24 2015 sat jan 24 15:18:28 2015 library versions: openssl 1.0.1l 15 jan 2015, lzo 2.08 sat jan 24 15:18:28 2015 warning: file 'home/client1.key' is group or others accessible sat jan 24 15:18:28 2015 warning: file 'home/ta.key' is group or others accessible sat jan 24 15:18:28 2015 control channel authentication: using 'home/ta.key' as a openvpn static key file sat jan 24 15:18:28 2015 outgoing control channel authentication: using 256 bit message hash 'sha256' for hmac authentication sat jan 24 15:18:28 2015 incoming control channel authentication: using 256 bit message hash 'sha256' for hmac authentication sat jan 24 15:18:28 2015 attempting to establish tcp connection with [af_inet]192.168.1.67:1194 [nonblock] sat jan 24 15:18:29 2015 tcp connection established with [af_inet]192.168.1.67:1194 sat jan 24 15:18:29 2015 tcpv4_client link local: [undef] sat jan 24 15:18:29 2015 tcpv4_client link remote: [af_inet]192.168.1.67:1194 sat jan 24 15:18:29 2015 tls_error: bio read tls_read_plaintext error: error:140830b5:ssl routines:ssl3_client_hello:no ciphers available sat jan 24 15:18:29 2015 tls error: tls object -> incoming plaintext read error sat jan 24 15:18:29 2015 tls error: tls handshake failed sat jan 24 15:18:29 2015 fatal tls error (check_tls_errors_co), restarting sat jan 24 15:18:29 2015 sigusr1[soft,tls-error] received, process restarting sat jan 24 15:18:30 2015 sigint[hard,init_instance] received, process exiting サーバーログ: http://pastebin.com/dkr76fay 同じ質問が以前に一度現れました: https://security.stackexchange.com/questions/73448/tls-authentication-on-openvpn-server ________________部分的な解決策:tls-version-min 1.2 この行をクライアントとサーバーの構成に追加することで、128ビットの暗号スイートを機能させることができます。 256ビットのバリアントはまだ成功しません。
回答: tls-dhe-rsa-with-aes-128-gcm-sha256は問題なく動作しています(arch linuxのソースからコンパイルされた2.3.6で)。ただし、openvpnではサーバー構成とクライアント構成の両方でtls-version-min 1.2設定が必要なようです。削除するとすぐに、まったく同じエラーが発生します。