OpenVPN sê ncp-disable is onbekend: wat het dit vervang?

Die kliënt weier om te begin met 'n opsiefout wat ncp-disable noem, en die profiel het op die vorige masjien gewerk. Daardie boodskap beteken nie dat die opsie verkeerd gespel is of dat enkripsie stukkend is nie. Dit beteken die binêre lêer voor jou ken glad nie die opdrag nie, en daar is twee heel verskillende redes daarvoor. Watter een van toepassing is, bepaal of jy die profiel wysig of die kliënt verander.

Die fout kan van 'n nuwer binêre lêer kom

'n Fout met 'n onbekende opsie gaan oor die ontleder, nie oor die tonnel nie. OpenVPN 2.4 het onderhandelbare cipher-parameters bygevoeg, 2.5 het die skakelaar wat hulle afgeskakel het, afgeskryf, en 2.6 het dit heeltemal verwyder. 'n Profiel wat vir 2.3 of 2.4 geskryf is, misluk dus op 'n huidige kliënt, selfs al het niks in die lêer verander nie. Die weergawe wat kla, is nuwer, nie ouer nie.

Vind uit watter uitvoerbare lêer die boodskap geproduseer het voordat jy enigiets wysig. 'n Lessenaarkliënt bevat sy eie enjin, terwyl 'n apart geïnstalleerde opdragreël-binêre lêer sy eie weergawe het. Die twee kan op dieselfde masjien verskil.

openvpn --version beslis dit vir die binêre lêer wat jy toets. 'n GUI-kliënt wys dalk nie daardie opdrag nie; lees dan sy omtrent-skerm of die ingeslote biblioteekweergawe.

Wat die opsie werklik beheer het

Die opdrag het die onderhandeling van kriptografiese parameters gedeaktiveer, sodat beide kante teruggeval het na ouer keurgdrag wat deur die cipher-instelling bepaal word. Dit het nooit enkripsie gedeaktiveer nie, en dit het nooit die tonnel in gewone teks verander nie. Om dit as 'n sekuriteitskakelaar te lees, is die eerste verkeerde draai, en dit lei tot veranderinge wat die verbinding slegter eerder as beter maak.

Sodra onderhandeling bestaan, is die ekwivalente vraag watter ciphers elke kant bereid is om te gebruik. Dit is 'n beleidsvraag, en beleid woon in data-ciphers op 2.5 en later.

Die ouer naam ncp-ciphers behoort aan 2.4. Om die twee name oor eweknieë te meng, is 'n algemene bron van eenrigting-onderhandelingsfoute. 'n Profiel wat albei dra, is 'n profiel wat deur twee mense op verskillende tye geredigeer is.

Vervang die beleid, nie die spelling nie

Stel data-ciphers op beide eweknieë met 'n beoogde gedeelde keuse, en hou die lys kort genoeg dat 'n resensent daaroor kan redeneer. Om een willekeurige reël te verander bewys niks; die resultaat hang af van die snypunt van beide lyste en van wat die TLS-stapel ondersteun. Bevestig dat die eweknieë saamstem deur die onderhandelde resultaat te lees eerder as die konfigurasie. Skryf dan die paar lyste in die ontplooiingsrekord sodat die volgende verandering van 'n bekende toestand begin.

Werk die profiel by deur wie dit ook al besit. Om 'n ignoreer-opsie by te voeg om 'n verouderde opdrag weg te steek, laat die beleidsvraag onbeantwoord.

As 'n ouer eweknie werklik versoenbaarheidsbehandeling nodig het, beperk dit tot daardie ontplooiing. Om verouderde gedrag globaal te herstel, is nie 'n voorvereiste om moderne eweknieë te verbind nie. Die uitsondering moet die eweknie noem waarvoor dit bestaan.

Twee reëls wat soos 'n cipher-lys lyk, maar dit nie is nie

Om twee cipher-reëls te stapel herstel ook nie onderhandeling nie, en die resultaat is 'n profiel wat soos 'n lys lyk terwyl dit soos 'n enkele waarde optree. Een reël wat AES-256-CBC noem en die volgende wat CBC noem, is 'n algemene poging. CBC alleen noem 'n modus eerder as 'n algoritme, so 'n ontleder kan dit in een gleuf aanvaar en in die volgende verwerp. Herhaalde cipher-opdragte stel dieselfde opsie twee keer in plaas daarvan om kandidate te versamel.

Kontroleer aanvaarde name met openvpn --show-ciphers op die teiken-binêre lêer in plaas daarvan om 'n lys uit 'n gids vir 'n ander tak te kopieer. Die lys verander tussen weergawes. 'n Naam wat in een tak geldig is, is nie noodwendig in die ander geldig nie.

As die doel 'n prestasievergeliking was, teken die algoritmes en die werklading aan. Om na CBC oor te skakel is nie 'n meting dat enkripsie afwesig is nie.

Kontroleer wat die verbinding werklik onderhandel het

Bring 'n nuwe verbinding op en lees die datakanaal-reël in die log, wat die cipher in gebruik noem. Die beheerkanaal-suite word apart besluit, so 'n toegelate lys in die lêer wys net wat aangebied was. Wanneer die twee eweknieë iets gekies het wat jy nie verwag het nie, is die lyste die plek om te kyk eerder as die tonnelkoppelvlak. Bevestig die resultaat op 'n tweede verbinding na enige verandering, want een herbegin kan 'n gekaste sessie hergebruik.

Hou die onderhandelde resultaat in die ontplooiingsrekord langs die profielweergawe. Dit is die feit wat die volgende vraag beantwoord oor watter cipher werklik die verkeer beskerm.