Tunnelblick data-ciphers nicht erkannt: Welche Engine lief?

Tunnelblick meldet eine unbekannte data-ciphers-Option, nennt OpenVPN 2.4 im selben Atemzug, und die Verbindung startet nie. Das ist ein lokaler Parse-Fehler und keine Cipher-Unstimmigkeit, denn die Engine hat das Profil abgelehnt, bevor irgendeine Aushandlung mit dem Gateway stattfand. Der übliche Rat zur Cipher-Richtlinie des Servers hilft hier nicht; der Parser muss die Datei erst verstehen. Finden Sie die Engine, die genau diese Konfiguration tatsächlich gestartet hat, und der Rest folgt.

Lesen Sie die Logzeile, bevor Sie das Profil anfassen

Öffnen Sie die fehlschlagende Verbindung im Detailfenster von Tunnelblick und lesen Sie das Log von oben. Die ersten Zeilen nennen die Engine-Version und das Profil, das ihr übergeben wird, gefolgt von der Option, die den Parse-Vorgang beendet hat. Alles danach ist Rauschen, denn der Prozess ist beendet.

Notieren Sie drei Fakten aus diesem Log: die Engine-Version, den Konfigurationsnamen und die genaue Meldung. Diese drei sind die ganze Diagnose. Sie sind auch das, was Sie brauchen, falls sich herausstellt, dass die Behebung eine Änderung der installierten Anwendung erfordert. Machen Sie einen Screenshot der Zeilen, statt sie zu paraphrasieren, denn Optionsnamen werden leicht falsch getippt, wenn man sie aus dem Gedächtnis wiederholt.

Bestätigen Sie, welche Engine diese Konfiguration ausführt

Tunnelblick ist eine Anwendung, die um eine OpenVPN-Engine herumgebaut ist, und verschiedene Konfigurationen können verschiedene Engines ausführen. Prüfen Sie die für diese Konfiguration gewählte Version im Detailfenster, statt die Anwendungsversion zu lesen, und ersetzen Sie das nicht durch die Ausgabe eines Terminal-Binärprogramms openvpn, das die Konfiguration nie verwendet. Der Leitfaden zu OpenVPN-Versionen von Tunnelblick beschreibt, wie diese Auswahl funktioniert und wo sie gespeichert wird.

Der Unterschied ist wichtig, weil ein Rechner ein modernes Binärprogramm im PATH und eine mitgelieferte 2.4-Engine hinter der fehlgeschlagenen Verbindung haben kann. Das Profil wird von der zweiten bewertet.

openvpn --version
ls /Applications/Tunnelblick.app/Contents/Resources/openvpn/

Diese beiden Befehle zeigen, was ein Terminal ausführen würde und welche Engine-Verzeichnisse die installierte Anwendung mitbringt. Keiner von beiden beweist, was die fehlgeschlagene Konfiguration verwendet hat, da das Log Ihnen das bereits gesagt hat, und die Pfade unterscheiden sich zwischen Tunnelblick-Versionen.

Warum sich der Direktivenname geändert hat

OpenVPN führte data-ciphers in 2.5 als Aushandlungsliste ein und ersetzte die frühere Schreibweise ncp-ciphers, die in dieser Version veraltet ist. Eine 2.4-Engine kennt diese Option nicht und bleibt beim ersten Token stehen, das sie nicht kennt. Auch die einzelne Option cipher ist kein älterer Alias für die Liste; sie benennt einen einzelnen Cipher statt einer Aushandlungsmenge.

Deshalb erzeugt Textersetzung über Versionen hinweg Profile, die sich parsen lassen und sich dann unerwartet verhalten, und deshalb ist das Kopieren eines Fragments aus einem Forenbeitrag keine Versionsprüfung. Die Optionsnamen haben sich zusammen mit Fallback-Behandlung und Standardwerten verschoben, und eine Datei, die durch Umbenennen einer Direktive zusammengesetzt wurde, ist nicht gleichwertig zu einer für die Engine geschriebenen.

Beheben Sie die Engine oder das Profil, nicht das Symptom

Für einen unterstützten Betrieb ist die dauerhafte Reparatur eine unterstützte Kombination aus Tunnelblick und Engine, die das Profil des Betreibers akzeptiert, eingerichtet über denjenigen, der die Anwendungsinstallation verantwortet. Wenn eine ältere Installation eine Weile bleiben muss, fordern Sie ein Profil an, das für diese Engine und für die Cipher geschrieben ist, die das Gateway tatsächlich akzeptiert.

Das Löschen von data-ciphers und data-ciphers-fallback beseitigt tatsächlich diesen konkreten Parse-Fehler, und genau deshalb ist es verlockend. Es ändert auch stillschweigend, welche Cipher ausgehandelt werden, in einer Sicherheitskonfiguration, die Sie nicht bearbeiten wollten. Behalten Sie das ursprüngliche Profil und vergleichen Sie stattdessen die unterstützten Einstellungen bewusst.

Erneut versuchen und die nächste Stufe lesen

Versuchen Sie nach der Korrektur die Verbindung erneut und lesen Sie das neue Log von Anfang an, statt Erfolg anzunehmen. Ein Profil, das jetzt geparst wird, kann trotzdem bei der Cipher-Aushandlung, bei der Zertifikatsprüfung, bei der Authentifizierung oder beim Routing stehen bleiben, und jeder dieser Fehlschläge hat seinen eigenen Beleg.

Wenn die Aushandlung fehlschlägt, vergleichen Sie die Cipher, die beide Seiten unterstützen, mit denen, die jede zulassen darf. Wenn die Authentifizierung fehlschlägt, funktionieren Profil und Engine jetzt gut genug, um das Gateway erreicht zu haben, was ein Fortschritt ist, der festgehalten werden sollte. Diese Kette beim ersten stillen Log abzubrechen, ist der Weg, auf dem eine Sicherheitseinstellung aus dem falschen Grund entfernt wird.