Tunnelblick data-ciphers ikke genkendt: hvilken motor kørte?

Tunnelblick rapporterer en ukendt data-ciphers-indstilling, nævner OpenVPN 2.4 i samme åndedrag, og forbindelsen starter aldrig. Det er en lokal parsefejl snarere end uenighed om cifre, fordi motoren afviste profilen, før der fandt nogen forhandling med gatewayen sted. Den sædvanlige rådgivning om serverens cifferpolitik kan ikke hjælpe her; parseren skal først forstå filen. Find den motor, som netop denne konfiguration faktisk startede, og resten følger.

Læs loglinjen, før du rører profilen

Åbn den fejlende forbindelse i Tunnelblicks detaljevindue, og læs loggen fra toppen. De første linjer angiver motorversionen og den profil, der gives til den, efterfulgt af den indstilling, der standsede parsingen. Alt derefter er støj, fordi processen er afsluttet.

Notér tre fakta fra den log: motorversionen, konfigurationsnavnet og den præcise meddelelse. De tre er hele diagnosen. De er også det, du får brug for, hvis det viser sig, at rettelsen kræver, at den installerede applikation ændres. Tag et skærmbillede af linjerne i stedet for at gengive dem, fordi indstillingsnavne let skrives forkert, når de gentages fra hukommelsen.

Bekræft, hvilken motor den konfiguration kører

Tunnelblick er en applikation, der er pakket omkring en OpenVPN-motor, og forskellige konfigurationer kan køre forskellige motorer. Kontrollér den version, der er valgt til denne konfiguration, i detaljevinduet i stedet for at læse applikationsversionen, og erstat ikke outputtet fra en terminal openvpn-binærfil, som konfigurationen aldrig bruger. Tunnelblicks guide til OpenVPN-versioner beskriver, hvordan det valg fungerer, og hvor valget gemmes.

Forskellen er vigtig, fordi en maskine kan have en moderne binærfil på PATH og en medfølgende 2.4-motor bag den forbindelse, der fejlede. Profilen vurderes af den anden.

openvpn --version
ls /Applications/Tunnelblick.app/Contents/Resources/openvpn/

De to kommandoer viser, hvad en terminal ville køre, og hvilke motormapper den installerede applikation indeholder. Ingen af dem beviser, hvad den fejlende konfiguration brugte, da loggen allerede har fortalt dig det, og stierne er forskellige mellem Tunnelblick-udgivelser.

Hvorfor direktivnavnet ændrede sig

OpenVPN indførte data-ciphers som forhandlingslisten i 2.5 og erstattede den tidligere ncp-ciphers-stavemåde, som blev forældet i den udgivelse. En 2.4-motor har ikke den indstilling, så den stopper ved det første token, den ikke kender. Den enkelte cipher-indstilling er heller ikke et ældre alias for listen; den navngiver ét ciffer i stedet for et forhandlingssæt.

Derfor giver tekstsubstitution på tværs af versioner profiler, der parses og derefter opfører sig uventet, og derfor er det ikke en versionskontrol at kopiere et uddrag fra et forumindlæg. Indstillingsnavnene flyttede sig sammen med fallback-håndtering og standardværdier, og en fil, der er samlet ved at omdøbe ét direktiv, svarer ikke til en, der er skrevet til motoren.

Ret motoren eller profilen, ikke symptomet

For en understøttet udrulning er den holdbare reparation en understøttet kombination af Tunnelblick og motor, der accepterer operatørens profil, arrangeret gennem den, der ejer installationen af applikationen. Hvis en ældre installation skal blive et stykke tid, så bed om en profil skrevet til den motor og til de cifre, som gatewayen faktisk accepterer.

Sletning af data-ciphers og data-ciphers-fallback rydder ganske vist denne særlige parsefejl, og det er netop derfor, det er fristende. Det ændrer også, hvilke cifre der forhandles, i al stilhed, i en sikkerhedskonfiguration, som du ikke havde til hensigt at redigere. Behold den oprindelige profil, og sammenlign i stedet de understøttede indstillinger bevidst.

Prøv igen, og læs næste fase

Efter rettelsen skal du prøve forbindelsen igen og læse den nye log fra begyndelsen i stedet for at antage succes. En profil, der nu parses, kan stadig stoppe ved cifferforhandling, ved certifikatverifikation, ved godkendelse eller ved routing, og hver af disse fejl har sit eget bevis.

Hvis forhandlingen mislykkes, så sammenlign de cifre, de to parter understøtter, og dem, hver af dem er konfigureret til at tillade. Hvis godkendelsen mislykkes, fungerer profilen og motoren nu godt nok til at have nået gatewayen, hvilket er fremskridt, der er værd at notere. At stoppe den kæde ved den første stille log er, hvordan en sikkerhedsindstilling fjernes af den forkerte grund.