OpenVPN hlásí, že ncp-disable je neznámý: čím byl nahrazen?

Klient odmítá nastartovat s chybou voleb, která zmiňuje ncp-disable, ačkoli profil na předchozím počítači fungoval. Tato zpráva neznamená, že je volba špatně napsaná nebo že je šifrování rozbité. Znamená, že binární soubor před vámi tu direktivu vůbec nezná, a mají to dva velmi odlišné důvody. Který platí, rozhoduje o tom, zda upravíte profil, nebo změníte klienta.

Chyba může pocházet z novějšího binárního souboru

Chyba nerozpoznané volby se týká parseru, ne tunelu. OpenVPN 2.4 přidal vyjednávací parametry šifry, 2.5 označil přepínač, který je vypínal, za zastaralý a 2.6 ho úplně odstranil. Proto profil napsaný pro 2.3 nebo 2.4 selže na současném klientovi, i když se v souboru nic nezměnilo. Verze, která si stěžuje, je novější, ne starší.

Než cokoli upravíte, zjistěte, který spustitelný soubor zprávu vyvolal. Desktopový klient nese vlastní engine, zatímco samostatně nainstalovaný binární soubor příkazové řádky má vlastní verzi. Ty dvě se mohou na stejném počítači lišit.

openvpn --version to pro testovaný binární soubor vyřeší. Klient s GUI tento příkaz možná neposkytuje; v tom případě si přečtěte jeho obrazovku O aplikaci nebo verzi přibalené knihovny.

Co volba ve skutečnosti ovládala

Direktiva vypínala vyjednávání kryptografických parametrů, takže oba konce přešly na starší chování výběru řízené nastavením cipher. Nikdy nevypnula šifrování a nikdy nepřeváděla tunel na otevřený text. Číst ji jako bezpečnostní přepínač je první špatný krok a vede ke změnám, které spojení spíš zhorší než zlepší.

Jakmile vyjednávání existuje, ekvivalentní otázka zní, které šifry je každá strana ochotna použít. To je otázka politiky a politika žije v data-ciphers od verze 2.5 dál.

Starší název ncp-ciphers patří k 2.4. Míchání obou názvů mezi protějšími stranami je častý zdroj jednostranných selhání vyjednávání. Profil, který nese oba, je profil upravený dvěma lidmi v různých časech.

Nahraďte politiku, ne pravopis

Nastavte data-ciphers na obou stranách se zamýšlenou společnou volbou a držte seznam tak krátký, aby o něm recenzent mohl uvažovat. Změna jednoho libovolného řádku nic nedokazuje; výsledek závisí na průniku obou seznamů a na tom, co podporuje TLS stack. Potvrďte shodu stran čtením vyjednaného výsledku, nikoli konfigurace. Potom oba seznamy zapište do záznamu o nasazení, aby další změna začala ze známého stavu.

Aktualizujte profil prostřednictvím toho, kdo ho vlastní. Přidání volby ignorovat, která má skrýt zastaralou direktivu, nechává otázku politiky nezodpovězenou.

Pokud starší strana opravdu potřebuje ošetření kompatibility, omezte ho na toto nasazení. Obnovení zastaralého chování globálně není předpokladem pro spojení moderních stran. Výjimka by měla pojmenovat stranu, pro kterou existuje.

Dva řádky, které vypadají jako seznam šifer, ale nejsou

Skládání dvou řádků šifry také neobnoví vyjednávání a výsledkem je profil, který vypadá jako seznam, ale chová se jako jedna hodnota. Řádek s AES-256-CBC a následující s CBC je častý pokus. CBC samo o sobě označuje režim, ne algoritmus, takže ho parser může v jednom slotu přijmout a v dalším odmítnout. Opakované direktivy cipher nastavují stejnou volbu dvakrát místo hromadění kandidátů.

Přijímané názvy ověřujte pomocí openvpn --show-ciphers na cílovém binárním souboru, místo abyste kopírovali seznam z návodu psaného pro jinou větev. Seznam se mezi vydáními mění. Název platný v jedné větvi nemusí být platný v druhé.

Pokud cílem bylo srovnání výkonu, zaznamenejte algoritmy a zátěž. Přechod na CBC není měřením toho, že šifrování chybí.

Zkontrolujte, co spojení skutečně vyjednalo

Navažte nové spojení a přečtěte řádek datového kanálu v logu, který uvádí použitou šifru. Sada řídicího kanálu se rozhoduje zvlášť, takže povolený seznam v souboru ukazuje jen to, co bylo nabídnuto. Když obě strany zvolily něco, co jste nečekali, hledejte v seznamech, ne v rozhraní tunelu. Výsledek potvrďte na druhém spojení po každé změně, protože jedno restartování může znovu použít uloženou relaci.

Uchovávejte vyjednaný výsledek v záznamu o nasazení vedle verze profilu. Právě tento údaj odpovídá na další otázku, která šifra provoz skutečně chrání.