openssl-3.3.3-alt1 openvpn-2.6.12-alt1 alterator-net-openvpn-0.8.15-alt1 При попытке запустить сервер OpenVPN в логах ошибки (сервер не запускается): OpenSSL: error:0A00018A:SSL routines::dh key too small: SSL_CTX_set0_tmp_dh_pkey Exiting due to fatal error Options error: Unrecognized option or missing or extra parameter(s) in /etc/net/ifaces/tun0/ovpnoptions:22: ncp-disable (2.6.12) Если в файле /usr/lib/alterator/backend3/openvpn-server изменить длину ключа хотя бы на 2048: DHPARAM_NUMBITS="1024" → DHPARAM_NUMBITS="2048" И не устанавливать отметку "Отключить согласование алгоритмов шифрования (NCP)" (опция --ncp-disable больше не поддерживается, см. https://community.openvpn.net/openvpn/wiki/DeprecatedOptions) то сервер запускается.
Created attachment 18011 [details] Патч, исправляющий ошибку с DHPARAM_NUMBITS Вместо задания параметра DH переменной было добавлено поле выбора из трех вариантов: 2048, 3072 и 4096 для более гибкой настройки уровня безопасности.
Created attachment 18012 [details] Патч, убирающий опцию ncp_disable Была убрана опция ncp_disable ввиду ее устаревания.
(Ответ для Alexey Volkov на комментарий #2) > Создано вложение 18012 [details] [подробности] > Патч, убирающий опцию ncp_disable > > Была убрана опция ncp_disable ввиду ее устаревания. Alexey Volkov, подготовьте таск с NMU, пожалуйста.
(In reply to Антон Мидюков from comment #3) > (Ответ для Alexey Volkov на комментарий #2) > > Создано вложение 18012 [details] [подробности] > > Патч, убирающий опцию ncp_disable > > > > Была убрана опция ncp_disable ввиду ее устаревания. > > Alexey Volkov, подготовьте таск с NMU, пожалуйста. https://packages.altlinux.org/en/tasks/379889/
(Ответ для Alexey Volkov на комментарий #1) > Создано вложение 18011 [details] [подробности] > Патч, исправляющий ошибку с DHPARAM_NUMBITS > > Вместо задания параметра DH переменной было добавлено поле выбора из трех > вариантов: > 2048, 3072 и 4096 для более гибкой настройки уровня безопасности. Насколько я понимаю, для ECDH TLS DH вообще не нужен, возможно надо добавить вариант с dh none. Или просто вообще прятать выбор DH, если используется соответствующие алгоритмы. Впрочем, я давно не смотрел в openvpn и могу уже плохо помнить. Пока аппрувлю таск, LGTM.
Алексей, в p11 отправьте, плиз.
(In reply to Sergey V Turchin from comment #6) > Алексей, в p11 отправьте, плиз. Отправил https://packages.altlinux.org/en/tasks/380845/
Пакет с исправлением ошибки прошел в p11. Спасибо!
