Tunnelblick data-ciphers не е разпознат: кой двигател работи?

Tunnelblick съобщава за неразпозната опция data-ciphers, споменава OpenVPN 2.4 в същия ред и връзката така и не стартира. Това е локален провал при анализа, а не разногласие за шифъра, защото двигателят отхвърли профила преди да се е стигнало до каквито и да е преговори с шлюза. Обичайният съвет за политиката на шифри на сървъра не помага тук; анализаторът първо трябва да разбере файла. Открийте двигателя, който тази конкретна конфигурация действително е стартирала, и останалото следва.

Прочетете реда в журнала, преди да пипате профила

Отворете неуспешната връзка в прозореца с подробности на Tunnelblick и прочетете журнала отгоре. Първите редове посочват версията на двигателя и профила, който му се подава, следвани от опцията, която спря анализа. Всичко след това е шум, защото процесът е излязъл.

Запишете три факта от този журнал: версията на двигателя, името на конфигурацията и точното съобщение. Тези три са цялата диагноза. Те са и това, което ще ви трябва, ако се окаже, че поправката изисква промяна на инсталираното приложение. Направете снимка на екрана на редовете, вместо да ги преразказвате, защото имената на опциите лесно се сбъркват при повтаряне по памет.

Потвърдете кой двигател изпълнява тази конфигурация

Tunnelblick е приложение, обвито около двигател OpenVPN, и различните конфигурации могат да изпълняват различни двигатели. Проверете версията, избрана за тази конфигурация в прозореца с подробности, вместо да четете версията на приложението, и не подменяйте с изхода на терминален двоичен файл openvpn, който конфигурацията никога не използва. Ръководството за версиите на OpenVPN на Tunnelblick описва как работи този избор и къде се съхранява.

Разликата е важна, защото една машина може да има модерен двоичен файл в PATH и вграден двигател 2.4 зад неуспешната връзка. Профилът се оценява от втория.

openvpn --version
ls /Applications/Tunnelblick.app/Contents/Resources/openvpn/

Тези две команди показват какво би стартирал терминалът и какви директории на двигатели носи инсталираното приложение. Нито едно от двете не доказва какво е използвала неуспешната конфигурация, тъй като журналът вече ви го каза, а пътищата се различават между изданията на Tunnelblick.

Защо името на директивата се промени

OpenVPN въведе data-ciphers като списък за преговори във 2.5, заменяйки по-ранния запис ncp-ciphers, който беше обявен за остарял в това издание. Двигател 2.4 няма такава опция, затова спира на първия токен, който не познава. Единичната опция cipher също не е по-стар псевдоним на списъка; тя назовава един шифър, а не набор за преговори.

Затова заместването на текст между версии произвежда профили, които се анализират и след това се държат неочаквано, и затова копирането на фрагмент от форумна публикация не е проверка на версията. Имената на опциите се преместиха заедно с обработката на резервни варианти и стойностите по подразбиране, а файл, сглобен чрез преименуване на една директива, не е еквивалентен на файл, написан за двигателя.

Поправете двигателя или профила, а не симптома

За поддържано разгръщане трайната поправка е поддържана комбинация от Tunnelblick и двигател, която приема профила на оператора, уредена чрез този, който притежава инсталацията на приложението. Ако по-стара инсталация трябва да остане за известно време, поискайте профил, написан за този двигател и за шифрите, които шлюзът действително приема.

Изтриването на data-ciphers и data-ciphers-fallback наистина изчиства тази конкретна грешка при анализа, поради което е изкушаващо. То също така променя кои шифри се договарят, тихо, в конфигурация за сигурност, която не сте възнамерявали да редактирате. Запазете оригиналния профил и вместо това сравнете поддържаните настройки съзнателно.

Опитайте отново и прочетете следващия етап

След корекцията опитайте връзката отново и прочетете новия журнал от началото, вместо да предполагате успех. Профил, който сега се анализира, все още може да спре при договарянето на шифъра, при проверката на сертификата, при удостоверяването или при маршрутизацията, и всеки от тези провали има свои собствени доказателства.

Ако договарянето се провали, сравнете шифрите, които двете страни поддържат, и тези, които всяка е конфигурирана да разрешава. Ако удостоверяването се провали, профилът и двигателят сега работят достатъчно добре, за да са стигнали до шлюза, което е напредък, който си струва да се запише. Спирането на тази верига при първия тих журнал е начинът, по който настройка за сигурност се премахва по грешна причина.