OpenVPN kaže da je ncp-disable nepoznat: šta ga je zamijenilo?

Klijent odbija da se pokrene s greškom u opcijama koja imenuje ncp-disable, a profil je radio na prethodnoj mašini. Ta poruka ne znači da je opcija pogrešno napisana ili da je šifriranje pokvareno. Znači da binarni fajl pred vama uopće ne poznaje tu direktivu, i za to postoje dva vrlo različita razloga. Koji se primjenjuje odlučuje hoćete li urediti profil ili promijeniti klijenta.

Greška može doći od novijeg binarnog fajla

Greška nepoznate opcije tiče se parsera, a ne tunela. OpenVPN 2.4 dodao je parametre šifre o kojima se može pregovarati, 2.5 je proglasio zastarjelim prekidač koji ih je isključivao, a 2.6 ga je potpuno uklonio. Zato profil napisan za 2.3 ili 2.4 pada na trenutnom klijentu, iako se ništa u fajlu nije promijenilo. Verzija koja se žali je novija, a ne starija.

Saznajte koji je izvršni fajl proizveo poruku prije nego što bilo šta uredite. Desktop klijent nosi vlastiti motor, dok zasebno instalirani binarni fajl komandne linije ima svoju verziju. Njih dvoje mogu se razlikovati na istoj mašini.

openvpn --version to rješava za binarni fajl koji testirate. GUI klijent možda ne prikazuje tu komandu, pa u tom slučaju pročitajte njegov ekran o programu ili verziju ugrađene biblioteke.

Šta je opcija zapravo kontrolisala

Direktiva je isključivala pregovaranje o kriptografskim parametrima, pa su obje strane padale na starije ponašanje odabira koje je vodila postavka cipher. Nikada nije isključila šifriranje i nikada nije pretvorila tunel u običan tekst. Čitanje toga kao sigurnosnog prekidača prvi je pogrešan korak i vodi promjenama koje vezu čine gorom, a ne boljom.

Kad pregovaranje postoji, ekvivalentno pitanje je koje su šifre svaka strana spremna koristiti. To je pitanje politike, a politika živi u data-ciphers na 2.5 i kasnije.

Starije ime ncp-ciphers pripada 2.4. Miješanje dva imena među partnerima čest je izvor jednostranih neuspjeha pregovaranja. Profil koji nosi oba je profil koji su uređivale dvije osobe u različito vrijeme.

Zamijenite politiku, ne pravopis

Postavite data-ciphers na oba partnera sa namjeravanim zajedničkim izborom i držite listu dovoljno kratkom da recenzent može o njoj razmišljati. Promjena jednog proizvoljnog reda ništa ne dokazuje; rezultat zavisi od presjeka obje liste i od toga šta TLS stog podržava. Potvrdite da se partneri slažu čitajući pregovarani rezultat, a ne konfiguraciju. Zatim upišite obje liste u zapis o postavljanju da sljedeća promjena počne iz poznatog stanja.

Ažurirajte profil preko onoga koji ga posjeduje. Dodavanje opcije ignorisanja koja skriva zastarjelu direktivu ostavlja pitanje politike bez odgovora.

Ako stariji partner zaista treba obradu kompatibilnosti, ograničite je na to postavljanje. Vraćanje zastarjelog ponašanja globalno nije preduslov za povezivanje modernih partnera. Izuzetak treba imenovati partnera za kojeg postoji.

Dva reda koja izgledaju kao lista šifri, ali nisu

Slaganje dva reda šifre također ne vraća pregovaranje, a rezultat je profil koji izgleda kao lista, dok se ponaša kao jedna vrijednost. Red s AES-256-CBC i sljedeći s CBC čest je pokušaj. CBC sam po sebi imenuje način rada, a ne algoritam, pa ga parser može prihvatiti u jednom mjestu i odbiti u sljedećem. Ponovljene direktive cipher postavljaju istu opciju dvaput umjesto da gomilaju kandidate.

Provjerite prihvaćena imena pomoću openvpn --show-ciphers na ciljnom binarnom fajlu, umjesto da kopirate listu iz vodiča pisanog za drugu granu. Lista se mijenja između izdanja. Ime valjano u jednoj grani nije nužno valjano u drugoj.

Ako je cilj bilo poređenje performansi, zapišite algoritme i radno opterećenje. Prelazak na CBC nije mjerenje odsustva šifriranja.

Provjerite šta je veza zapravo pregovarala

Uspostavite novu vezu i pročitajte red o kanalu podataka u dnevniku, koji imenuje šifru koja se koristi. Skup kontrolnog kanala određuje se zasebno, pa dopuštena lista u fajlu pokazuje samo šta je bilo ponuđeno. Kada dva partnera odaberu nešto što niste očekivali, liste su mjesto za provjeru, a ne sučelje tunela. Potvrdite rezultat na drugoj vezi nakon svake promjene, jer jedno ponovno pokretanje može ponovno iskoristiti keširanu sesiju.

Čuvajte pregovarani rezultat u zapisu o postavljanju pored verzije profila. To je činjenica koja odgovara na sljedeće pitanje o tome koja šifra zapravo štiti saobraćaj.