Tunnelblick data-ciphers nerozpoznáno: který engine běžel?

Tunnelblick hlásí nerozpoznanou volbu data-ciphers, zmiňuje OpenVPN 2.4 v téže větě a připojení se nikdy nespustí. Jde o místní selhání parsování, nikoli o neshodu šifer, protože engine profil odmítl dřív, než došlo k jakémukoli vyjednávání s bránou. Obvyklá rada o šifrovací politice serveru zde nepomůže; parser musí nejprve rozumět souboru. Najděte engine, který tato konfigurace skutečně spustila, a zbytek přijde sám.

Přečtěte řádek logu, než sáhnete na profil

Otevřete neúspěšné připojení v okně podrobností Tunnelblick a čtěte log odshora. První řádky uvádějí verzi enginu a profil, který se mu předává, následuje volba, která parsování zastavila. Vše po tomto bodě je šum, protože proces skončil.

Zapište si z toho logu tři skutečnosti: verzi enginu, název konfigurace a přesnou zprávu. Ty tři tvoří celou diagnózu. Budete je potřebovat i tehdy, ukáže-li se, že oprava vyžaduje změnu nainstalované aplikace. Řádky vyfoťte, místo abyste je parafrázovali, protože názvy voleb se snadno přepíší špatně, když je opakujete z paměti.

Ověřte, který engine tato konfigurace spouští

Tunnelblick je aplikace obalená kolem enginu OpenVPN a různé konfigurace mohou spouštět různé enginy. Zkontrolujte verzi vybranou pro tuto konfiguraci v okně podrobností, místo abyste četli verzi aplikace, a nenahrazujte výstupem terminálového binárního souboru openvpn, který konfigurace nikdy nepoužívá. Průvodce verzemi OpenVPN od Tunnelblick popisuje, jak tento výběr funguje a kde se volba ukládá.

Rozdíl je důležitý, protože stroj může mít moderní binární soubor v PATH a zabudovaný engine 2.4 za neúspěšným připojením. Profil vyhodnocuje ten druhý.

openvpn --version
ls /Applications/Tunnelblick.app/Contents/Resources/openvpn/

Tyto dva příkazy ukazují, co by spustil terminál a které adresáře enginů nainstalovaná aplikace nese. Ani jeden nedokazuje, co neúspěšná konfigurace použila, protože log už vám to řekl, a cesty se mezi vydáními Tunnelblick liší.

Proč se změnil název direktivy

OpenVPN zavedl data-ciphers jako seznam pro vyjednávání ve verzi 2.5 a nahradil dřívější zápis ncp-ciphers, který se v tomto vydání stal zastaralým. Engine 2.4 takovou volbu nemá, takže se zastaví na prvním tokenu, který nezná. Ani samostatná volba cipher není starším aliasem seznamu; pojmenovává jednu šifru, nikoli vyjednávací sadu.

Proto nahrazení textu mezi verzemi vytváří profily, které se naparsují a pak se chovají nečekaně, a proto zkopírování úryvku z příspěvku na fóru není kontrola verze. Názvy voleb se posunuly spolu s ošetřením záložních hodnot a výchozími hodnotami a soubor složený přejmenováním jedné direktivy není ekvivalentní souboru napsanému pro daný engine.

Opravte engine nebo profil, ne symptom

Pro podporované nasazení je trvalou opravou podporovaná kombinace Tunnelblick a enginu, která přijímá profil operátora, zařízená přes toho, kdo vlastní instalaci aplikace. Pokud musí starší instalace nějakou dobu zůstat, požádejte o profil napsaný pro tento engine a pro šifry, které brána skutečně přijímá.

Smazání data-ciphers a data-ciphers-fallback tuto konkrétní chybu parsování skutečně odstraní, a právě proto je to lákavé. Mění také, které šifry se budou vyjednávat, a to tiše, v bezpečnostní konfiguraci, kterou jste upravovat nechtěli. Ponechte původní profil a místo toho podporovaná nastavení vědomě porovnejte.

Zkuste to znovu a přečtěte další fázi

Po opravě zkuste připojení znovu a čtěte nový log od začátku, místo abyste předpokládali úspěch. Profil, který se nyní naparsuje, se stále může zastavit u vyjednávání šifry, u ověření certifikátu, u autentizace nebo u směrování, a každé z těchto selhání má svůj vlastní důkaz.

Pokud vyjednávání selže, porovnejte šifry, které podporují obě strany, a ty, které má každá povolené. Pokud selže autentizace, profil a engine nyní fungují dost dobře na to, aby dosáhly brány, což je pokrok, který stojí za zaznamenání. Zastavení tohoto řetězce u prvního tichého logu je způsob, jak se bezpečnostní nastavení odstraní ze špatného důvodu.