Tunnelblick data-ciphers не распазнаны: які рухавік працаваў?

Tunnelblick паведамляе пра нераспазнаную опцыю data-ciphers, згадвае OpenVPN 2.4 у тым жа сказе, і злучэнне так і не пачынаецца. Гэта лакальная памылка разбору, а не разыходжанне шыфраў, бо рухавік адхіліў профіль да таго, як адбыліся любыя перамовы з шлюзам. Звычайная парада пра палітыку шыфраў сервера тут не дапаможа; спачатку разборшчык павінен зразумець файл. Знайдзіце рухавік, які фактычна запусціла гэтая адна канфігурацыя, і астатняе прыйдзе само.

Прачытайце радок журнала, перш чым чапаць профіль

Адкрыйце няўдалае злучэнне ў акне падрабязнасцей Tunnelblick і чытайце журнал зверху. Першыя радкі называюць версію рухавіка і профіль, які яму перадаюць, а затым опцыю, якая спыніла разбор. Усё пасля гэтага — шум, бо працэс завяршыўся.

Запішыце тры факты з гэтага журнала: версію рухавіка, назву канфігурацыі і дакладнае паведамленне. Гэтыя тры — увесь дыягназ. Яны ж спатрэбяцца, калі выявіцца, што выпраўленне патрабуе змены ўсталяванага праграмнага забеспячэння. Зрабіце здымак экрана радкоў, а не пераказвайце іх, бо назвы опцый лёгка напісаць з памылкай, калі паўтараць іх па памяці.

Пацвердзіце, які рухавік запускае гэтая канфігурацыя

Tunnelblick — гэта праграма, якая ахутвае рухавік OpenVPN, і розныя канфігурацыі могуць запускаць розныя рухавікі. Праверце версію, выбраная для гэтай канфігурацыі ў акне падрабязнасцей, а не чытайце версію праграмы, і не падстаўляйце вывад тэрмінальнага бінарніка openvpn, які канфігурацыя ніколі не выкарыстоўвае. Кіраўніцтва па версіях OpenVPN ад Tunnelblick апісвае, як працуе гэты выбар і дзе ён захоўваецца.

Адрозненне важнае, бо машына можа мець сучасны бінарнік у PATH і ўбудаваны рухавік 2.4 за няўдалым злучэннем. Профіль ацэньвае другі.

openvpn --version
ls /Applications/Tunnelblick.app/Contents/Resources/openvpn/

Гэтыя дзве каманды паказваюць, што запусціў бы тэрмінал і якія каталогі рухавікоў нясе ўсталяваная праграма. Ні адна не даказвае, што выкарыстоўвала няўдалая канфігурацыя, бо журнал ужо сказаў вам гэта, а шляхі адрозніваюцца паміж выпускамі Tunnelblick.

Чаму змянілася назва дырэктывы

OpenVPN увёў data-ciphers як спіс перамоваў у 2.5, замяніўшы ранейшае напісанне ncp-ciphers, якое было абвешчана састарэлым у гэтым выпуску. Рухавік 2.4 не мае такой опцыі, таму ён спыняецца на першым невядомым яму токене. Адзіночная опцыя cipher таксама не з'яўляецца старым псеўданімам спіса; яна называе адзін шыфр, а не набор для перамоваў.

Вось чаму замена тэксту паміж версіямі стварае профілі, якія разбіраюцца, а потым паводзяць сябе нечакана, і чаму капіраванне фрагмента з паведамлення на форуме не з'яўляецца праверкай версіі. Назвы опцый змяніліся разам з апрацоўкай запасных варыянтаў і значэннямі па змаўчанні, і файл, сабраны шляхам перайменавання адной дырэктывы, не эквівалентны файлу, напісанаму для рухавіка.

Выпраўце рухавік або профіль, а не сімптом

Для падтрымліванага разгортвання трывалае выпраўленне — гэта падтрымліванае спалучэнне Tunnelblick і рухавіка, якое прымае профіль аператара, арганізаванае праз таго, хто валодае ўсталяваннем праграмы. Калі старое ўсталяванне павінна застацца на некаторы час, папрасіце профіль, напісаны для гэтага рухавіка і для шыфраў, якія шлюз фактычна прымае.

Выдаленне data-ciphers і data-ciphers-fallback сапраўды ліквідуе гэтую канкрэтную памылку разбору, менавіта таму гэта спакушліва. Яно таксама маўкліва змяняе, якія шыфры будуць узгоднены, у канфігурацыі бяспекі, якую вы не збіраліся рэдагаваць. Захавайце арыгінальны профіль і замест гэтага свядома параўнайце падтрымліваемыя налады.

Паспрабуйце зноў і прачытайце наступны этап

Пасля выпраўлення паспрабуйце злучэнне зноў і прачытайце новы журнал з пачатку, а не мяркуйце поспех. Профіль, які цяпер разбіраецца, усё яшчэ можа спыніцца на ўзгадненні шыфраў, на праверцы сертыфіката, на аўтэнтыфікацыі або на маршрутызацыі, і ў кожнай з гэтых няўдач ёсць свае доказы.

Калі ўзгадненне не ўдаецца, параўнайце шыфры, якія падтрымліваюць абодва бакі, і тыя, якія кожнаму дазволена выкарыстоўваць. Калі аўтэнтыфікацыя не ўдаецца, профіль і рухавік цяпер працуюць дастаткова добра, каб дасягнуць шлюза, і гэта прагрэс, які варта запісаць. Спыненне гэтага ланцуга на першым ціхім журнале — гэта спосаб выдаліць наладу бяспекі з няправільнай прычыны.