Tunnelblick data-ciphers no reconegut: quin motor s'executava?

Tunnelblick informa d'una opció data-ciphers no reconeguda, esmenta OpenVPN 2.4 al mateix temps i la connexió no s'inicia mai. Es tracta d'una fallada local d'anàlisi i no d'un desacord de xifratge, perquè el motor va rebutjar el perfil abans que es produís cap negociació amb la passarel·la. El consell habitual sobre la política de xifratge del servidor no pot ajudar aquí; primer l'analitzador ha d'entendre el fitxer. Trobeu el motor que aquesta configuració va engegar realment, i la resta vindrà sola.

Llegiu la línia del registre abans de tocar el perfil

Obriu la connexió fallida a la finestra de detalls del Tunnelblick i llegiu el registre des de dalt. Les primeres línies indiquen la versió del motor i el perfil que se li lliura, seguides de l'opció que va aturar l'anàlisi. Tot el que ve després és soroll, perquè el procés ha sortit.

Anoteu tres fets d'aquell registre: la versió del motor, el nom de la configuració i el missatge exacte. Aquests tres són tot el diagnòstic. També són el que necessitareu si resulta que la solució requereix canviar l'aplicació instal·lada. Feu una captura de pantalla de les línies en lloc de parafrasejar-les, perquè els noms d'opció són fàcils d'escriure malament quan es repeteixen de memòria.

Confirmeu quin motor executa aquesta configuració

Tunnelblick és una aplicació embolcallada al voltant d'un motor OpenVPN, i configuracions diferents poden executar motors diferents. Comproveu la versió seleccionada per a aquesta configuració a la finestra de detalls en lloc de llegir la versió de l'aplicació, i no substituïu la sortida d'un binari openvpn de terminal que la configuració no fa servir mai. La guia de versions d'OpenVPN del Tunnelblick descriu com funciona aquesta selecció i on es desa.

La distinció importa perquè una màquina pot tenir un binari modern al PATH i un motor 2.4 inclòs darrere de la connexió que ha fallat. El perfil l'avalua el segon.

openvpn --version
ls /Applications/Tunnelblick.app/Contents/Resources/openvpn/

Aquestes dues ordres mostren què executaria un terminal i quins directoris de motors porta l'aplicació instal·lada. Cap de les dues no demostra què va fer servir la configuració fallida, ja que el registre ja us ho ha dit, i les rutes difereixen entre versions del Tunnelblick.

Per què va canviar el nom de la directiva

OpenVPN va introduir data-ciphers com a llista de negociació a la 2.5, substituint l'ortografia anterior ncp-ciphers que va quedar obsoleta en aquesta versió. Un motor 2.4 no té aquesta opció, així que s'atura al primer testimoni que no coneix. L'opció única cipher tampoc no és un àlies antic de la llista; anomena un sol xifratge i no un conjunt de negociació.

Per això la substitució de text entre versions produeix perfils que s'analitzen i després es comporten de manera inesperada, i per això copiar un fragment d'un missatge del fòrum no és una comprovació de versió. Els noms d'opció es van moure juntament amb la gestió de reserva i els valors per defecte, i un fitxer muntat canviant el nom d'una directiva no equival a un d'escrit per al motor.

Arregleu el motor o el perfil, no el símptoma

Per a un desplegament compatible, la reparació duradora és una combinació compatible de Tunnelblick i motor que accepti el perfil de l'operador, organitzada a través de qui posseeix la instal·lació de l'aplicació. Si una instal·lació antiga ha de quedar-se un temps, demaneu un perfil escrit per a aquell motor i per als xifratges que la passarel·la accepta realment.

Suprimir data-ciphers i data-ciphers-fallback sí que elimina aquest error concret d'anàlisi, i per això és temptador. També canvia quins xifratges es negocien, en silenci, en una configuració de seguretat que no teníeu la intenció d'editar. Conserveu el perfil original i compareu els paràmetres compatibles deliberadament.

Torneu-ho a provar i llegiu la fase següent

Després de la correcció, torneu a provar la connexió i llegiu el registre nou des del principi en lloc de suposar èxit. Un perfil que ara s'analitza encara es pot aturar a la negociació del xifratge, a la verificació del certificat, a l'autenticació o a l'encaminament, i cadascuna d'aquestes fallades té la seva pròpia evidència.

Si falla la negociació, compareu els xifratges que admeten els dos extrems i els que cadascun té permès. Si falla l'autenticació, el perfil i el motor ara funcionen prou bé per haver arribat a la passarel·la, cosa que és un progrés que val la pena registrar. Aturar aquesta cadena al primer registre silenciós és com s'elimina un paràmetre de seguretat pel motiu equivocat.