OpenVPN казва, че ncp-disable е непознат: какво го замени?

Клиентът отказва да стартира с грешка в опциите, която назовава ncp-disable, а профилът е работил на предишната машина. Това съобщение не означава, че опцията е сгрешена или че шифроването е счупено. То означава, че двоичният файл пред вас изобщо не познава тази директива и за това има две много различни причини. Коя от тях е налице решава дали редактирате профила, или сменяте клиента.

Грешката може да идва от по-нов двоичен файл

Грешка за неразпозната опция е за парсера, а не за тунела. OpenVPN 2.4 добави договарящи се параметри на шифъра, 2.5 обяви за остарял превключвателя, който ги изключваше, а 2.6 го премахна напълно. Затова профил, написан за 2.3 или 2.4, се проваля на текущ клиент, дори нищо във файла да не се е променило. Версията, която се оплаква, е по-нова, не по-стара.

Разберете кой изпълним файл е издал съобщението, преди да редактирате каквото и да е. Настолният клиент носи собствен двигател, а отделно инсталиран двоичен файл за команден ред има своя версия. Двете могат да не съвпадат на една и съща машина.

openvpn --version решава въпроса за двоичния файл, който тествате. GUI клиент може да не показва тази команда, в който случай прочетете екрана му „Относно“ или версията на вградената библиотека.

Какво всъщност контролираше опцията

Директивата изключваше договарянето на криптографски параметри, затова двата края се връщаха към по-старо поведение при избор, управлявано от настройката cipher. Тя никога не е изключвала шифроването и никога не е превръщала тунела в открит текст. Да я четете като превключвател за сигурност е първият грешен завой и води до промени, които влошават връзката, вместо да я подобрят.

Щом договарянето съществува, еквивалентният въпрос е кои шифри всяка страна е готова да използва. Това е въпрос на политика, а политиката живее в data-ciphers от 2.5 нататък.

По-старото име ncp-ciphers принадлежи на 2.4. Смесването на двете имена между партньорите е чест източник на еднопосочни провали при договаряне. Профил, който носи и двете, е профил, редактиран от двама души по различно време.

Сменете политиката, не изписването

Задайте data-ciphers на двата партньора с предвидена обща опция и дръжте списъка достатъчно кратък, за да може рецензентът да го обмисли. Промяната на един произволен ред не доказва нищо; резултатът зависи от пресечната точка на двата списъка и от това какво поддържа TLS стекът. Потвърдете, че партньорите са съгласни, като прочетете договорения резултат, а не конфигурацията. След това запишете двата списъка в записа за внедряване, за да започне следващата промяна от известно състояние.

Актуализирайте профила чрез този, който го притежава. Добавянето на опция за игнориране, която да скрие остаряла директива, оставя въпроса за политиката без отговор.

Ако по-стар партньор наистина се нуждае от обработка на съвместимост, ограничете я до това внедряване. Възстановяването на остаряло поведение глобално не е предпоставка за свързване на съвременни партньори. Изключението трябва да назове партньора, за който съществува.

Два реда, които изглеждат като списък с шифри, но не са

Подреждането на два реда с шифри също не възстановява договарянето и резултатът е профил, който изглежда като списък, но се държи като една стойност. Един ред с AES-256-CBC и следващ с CBC е чест опит. CBC сам по себе си назовава режим, а не алгоритъм, затова парсерът може да го приеме в един слот и да го отхвърли в следващия. Повтарящите се директиви cipher задават една и съща опция два пъти, вместо да натрупват кандидати.

Проверявайте приетите имена с openvpn --show-ciphers върху целевия двоичен файл, вместо да копирате списък от ръководство за друг клон. Списъкът се променя между изданията. Име, валидно в един клон, не е задължително валидно в другия.

Ако целта е било сравнение на производителност, запишете алгоритмите и натоварването. Преминаването към CBC не е измерване на липса на шифроване.

Проверете какво всъщност е договорила връзката

Вдигнете нова връзка и прочетете реда за канала с данни в журнала, който назовава използвания шифър. Наборът за контролния канал се решава отделно, затова разрешеният списък във файла показва само какво е било предложено. Когато двамата партньори са избрали нещо, което не сте очаквали, списъците са мястото за гледане, а не интерфейсът на тунела. Потвърдете резултата на втора връзка след всяка промяна, защото едно рестартиране може да използва отново кеширана сесия.

Пазете договорения резултат в записа за внедряване до версията на профила. Именно този факт отговаря на следващия въпрос кой шифър наистина защитава трафика.