Контрольные испытания ГОСТ-профиля OpenVPN¶

При настройке и после обновлений ГОСТ-компонентов НАЙС.ОС проверяйте не только запуск OpenVPN, но и криптографический результат подключения, маршрутизацию и эксплуатационную устойчивость.

Минимальная матрица приёмки¶

Испытание	Ожидаемый результат
Сервер запущен	Служба `active (running)`; нет ошибок OpenSSL/ключей
Клиент подключён	TLS-соединение установлено, проверка сертификата завершена
Отправка данных	В журнале `Outgoing Data Channel: Cipher 'kuznyechik-cbc'`
Приём данных	В журнале `Incoming Data Channel: Cipher 'kuznyechik-cbc'`
HMAC отправки	`id-tc26-gost3411-12-256`
HMAC приёма	`id-tc26-gost3411-12-256`
Реальный трафик	Адрес VPN назначен, пакеты проходят по правильному маршруту
Несовместимый профиль в изолированном стенде	Согласование отклонено без перехода на другой, неразрешённый шифр
Возобновление соединения	После переподключения алгоритмы остаются теми же

Быстрый протокол проверки¶

На сервере:

openvpn --version | head -n 3
openvpn --show-ciphers | grep -Ei 'kuznyechik|gost89|magma'
openvpn --show-digests | grep -Ei 'gost|tc26'
systemctl status openvpn-server@server-gost.service --no-pager

На клиенте:

journalctl -u openvpn-client@cloud.ru.service -n 150 --no-pager   | grep -Ei 'VERIFY|Control Channel|Data Channel|HMAC|Initialization'
ip -br addr
ip route

Замените имя службы на реальное.

Проверка отсутствия несанкционированного fallback¶

Если сервер настроен с data-ciphers kuznyechik-cbc, тестовый клиент с несовместимым списком шифров не должен незаметно перейти на AES. Такой отрицательный тест выполняйте только на отдельном испытательном профиле, не разрывая действующие соединения пользователей.

После обновлений¶

Сохраните прежние списки openvpn --show-ciphers, --show-digests, openssl list -providers.
Обновите систему штатным RPM-инструментом в согласованное окно.
Перезапустите испытательный туннель и сравните реальные строки согласования.
Подтвердите доступность прикладного ресурса, работу маршрута и DNS.
Если профиль не согласуется, сначала проверьте изменения доступности алгоритмов OpenSSL, затем конфигурацию data-ciphers, а не ослабляйте проверку сертификатов.

Как вести протокол¶

Укажите дату, обозначения узлов (без публичных IP и пользователей), результаты команд, оба алгоритма канала данных, HMAC, TLS-профиль, факт передачи трафика и итог. Не прикладывайте закрытые ключи, секреты tls-crypt или экспортированные контейнеры PFX.