AES-256-GCM heb ei ganfod: gallu@APOS@r cleient neu@APOS@r drafodaeth?

Mae proffil OpenVPN sy’n gweithio mewn man arall yn adrodd na ellir canfod AES-256-GCM, neu nad oes gan y partneriaid siffr gyffredin, a’r reddf gyntaf yw golygu’r proffil. Mae’r ddau neges yn disgrifio methiannau gwahanol. Mae un yn dweud nad oes gan y rhaglen leol y fath algorithm; mae’r llall yn dweud bod gan y ddwy ochr algorithmau ond nad oes dewis cyffredin. Nid yw golygu’r proffil yn trwsio’r naill na’r llall hyd nes y gwyddoch pa un sydd gennych.

Darllenwch union destun y gwall a’r rhaglen a’i cynhyrchodd.

Penderfynwch pa wall sydd gennych

Daw’r neges am siffr na ellir ei chanfod o ddadansoddi opsiynau ar y peiriant lleol, cyn anfon unrhyw becyn. Golyga nad yw’r ffeil weithredadwy o’ch blaen, na’r llyfrgell y mae’n cysylltu â hi, yn cynnig yr algorithm hwnnw. Daw’r neges am ddim siffr gyffredin yn hwyrach, yn ystod y drafodaeth, ac mae’n awgrymu bod y ddwy ochr yn cefnogi siffrau ond na allant gytuno ar un.

Mae’r gwahaniaeth yn bwysig oherwydd un yn broblem fersiwn meddalwedd a’r llall yn broblem ffurfweddiad. Setlir y cyntaf gan rif fersiwn. Setlir yr ail drwy gymharu dwy restr.

Bwlch gallu lleol

Mae adeiladwaith cymunedol hen yn rhagflaenu’r gosodiadau diofyn modern, a gall rhaglen bwrdd gwaith ddod â’i pheiriant ei hun sy’n wahanol i’r pecyn llinell orchymyn a osodwyd wrth ei hymyl. Rhedwch y gwiriadau ar y ffeil weithredadwy a lansiodd y cysylltiad mewn gwirionedd, yna dewiswch adeiladwaith a gefnogir yn hytrach na cheisio dysgu algorithm newydd i hen raglen.

openvpn --version
openvpn --show-ciphers | grep -i gcm
openvpn --show-tls | head -5

Os nad yw AES-256-GCM yn ymddangos yn y rhestr honno, ni fydd unrhyw linell broffil yn ei ychwanegu. Yr ateb yw cleient mwy newydd neu adeiladwaith gwahanol, a daw cyfyngiadau’r ochr hŷn yn gwestiwn dylunio ar wahân.

Ar gyfer cleientiaid sy’n seiliedig ar OpenVPN 3 mae’r peiriant a’r cyfarwyddiadau a dderbynnir yn wahanol i linell gymunedol 2.x, felly gall yr un testun proffil fethu am resymau heb ddim i’w wneud â’r rhestr siffrau.

Bwlch trafodaeth

Pan fydd y ddau bartner yn rhestru’r algorithm, y cwestiwn sy’n weddill yw pa restr y mae pob ochr yn ei chynnig. Ailenwyd y cyfarwyddyd trafodaeth gan OpenVPN cymunedol: daeth ncp-ciphers yn 2.4 yn data-ciphers yn 2.5, ac yn 2.6 mae’r llinell cipher hŷn yn gwasanaethu cydnawsedd ac wrth gefn yn bennaf yn hytrach na diffinio’r set a drafodwyd.

Dyna pam y gall newid llinell cipher hen yn unig adael y rhestr drafodaeth heb ei chyffwrdd. Mae’r hen linell yn dal yn bwysig ar gyfer wrth gefn, sy’n dasg ar wahân. Mae cymysgu’r ddau yn cynhyrchu golygiadau nad ydynt yn newid dim gweladwy.

openvpn --version | head -2
grep -n -E '^(data-ciphers|ncp-ciphers|cipher|tls-cipher)' server.conf client.ovpn

Cymharwch restrau’r ddau ben a neges gwrthod y gweinydd. Os yw’r croestoriad yn wag, aliniwch y rhestrau yn fwriadol yn hytrach na chopïo gwerth o bost a ysgrifennwyd ar gyfer fersiwn arall. Mae rhestr rhy hael yn gwanhau pob cysylltiad yn dawel. Mae rhestr rhy gul yn eithrio’r partner y gwnaethoch chi ei gadw.

Cadwch gydnawsedd yn glir

Mae wrth gefn ar gyfer un hen bartner yn benderfyniad â chost: mae’r defnydd cyfan yn derbyn opsiwn gwannach fel y gall un ddyfais gysylltu. Ysgrifennwch hynny felly, a’i gyfyngu i’r partner sydd ei angen.

Mae dau amod yn penderfynu’r canlyniad. Os yw’r gwall yn lleol, disodlwch yr adeiladwaith. Os yw’r gwall yn un trafodaeth, aliniwch y rhestrau ar y ddau ben a nodwch pa fersiynau rydych yn eu cefnogi.

Yna adroddwch yr union wall gyda’r allbwn fersiwn a gallu ynghlwm. Mae’r pâr hwnnw’n gwahanu algorithm coll oddi wrth anghytundeb, ac yn atal y rownd nesaf o olygiadau damcaniaethol cyn iddi ddechrau.