Tunnelblick data-ciphers μη αναγνωρίσιμο: ποια μηχανή έτρεχε;

Το Tunnelblick αναφέρει μια μη αναγνωρισμένη επιλογή data-ciphers, αναφέρει το OpenVPN 2.4 στην ίδια ανάσα και η σύνδεση δεν ξεκινά ποτέ. Πρόκειται για τοπική αποτυχία ανάλυσης και όχι για διαφωνία κρυπτογράφησης, γιατί η μηχανή απέρριψε το προφίλ πριν γίνει οποιαδήποτε διαπραγμάτευση με την πύλη. Η συνήθης συμβουλή για την πολιτική κρυπτογράφησης του διακομιστή δεν βοηθά εδώ· ο αναλυτής πρέπει πρώτα να καταλάβει το αρχείο. Βρείτε τη μηχανή που αυτή η μία διαμόρφωση εκκίνησε πραγματικά και τα υπόλοιπα ακολουθούν.

Διαβάστε τη γραμμή του αρχείου καταγραφής πριν αγγίξετε το προφίλ

Ανοίξτε την αποτυχημένη σύνδεση στο παράθυρο λεπτομερειών του Tunnelblick και διαβάστε το αρχείο καταγραφής από την αρχή. Οι πρώτες γραμμές αναφέρουν την έκδοση της μηχανής και το προφίλ που της παραδίδεται, ακολουθούμενες από την επιλογή που σταμάτησε την ανάλυση. Ό,τι ακολουθεί είναι θόρυβος, γιατί η διεργασία τερματίστηκε.

Καταγράψτε τρία γεγονότα από αυτό το αρχείο: την έκδοση της μηχανής, το όνομα της διαμόρφωσης και το ακριβές μήνυμα. Αυτά τα τρία είναι ολόκληρη η διάγνωση. Είναι επίσης αυτό που θα χρειαστείτε αν αποδειχθεί ότι η διόρθωση απαιτεί αλλαγή της εγκατεστημένης εφαρμογής. Τραβήξτε στιγμιότυπο των γραμμών αντί να τις παραφράσετε, γιατί τα ονόματα επιλογών πληκτρολογούνται εύκολα λάθος όταν επαναλαμβάνονται από μνήμης.

Επιβεβαιώστε ποια μηχανή εκτελεί αυτή η διαμόρφωση

Το Tunnelblick είναι μια εφαρμογή τυλιγμένη γύρω από μια μηχανή OpenVPN και διαφορετικές διαμορφώσεις μπορούν να εκτελούν διαφορετικές μηχανές. Ελέγξτε την έκδοση που έχει επιλεγεί για αυτή τη διαμόρφωση στο παράθυρο λεπτομερειών αντί να διαβάσετε την έκδοση της εφαρμογής, και μην αντικαθιστάτε την έξοδο ενός δυαδικού αρχείου openvpn τερματικού που η διαμόρφωση δεν χρησιμοποιεί ποτέ. Ο οδηγός εκδόσεων OpenVPN του Tunnelblick περιγράφει πώς λειτουργεί αυτή η επιλογή και πού αποθηκεύεται.

Η διάκριση έχει σημασία γιατί ένα μηχάνημα μπορεί να έχει ένα σύγχρονο δυαδικό αρχείο στο PATH και μια ενσωματωμένη μηχανή 2.4 πίσω από τη σύνδεση που απέτυχε. Το προφίλ το αξιολογεί η δεύτερη.

openvpn --version
ls /Applications/Tunnelblick.app/Contents/Resources/openvpn/

Αυτές οι δύο εντολές δείχνουν τι θα εκτελούσε ένα τερματικό και ποιους καταλόγους μηχανών φέρει η εγκατεστημένη εφαρμογή. Καμία από τις δύο δεν αποδεικνύει τι χρησιμοποίησε η αποτυχημένη διαμόρφωση, αφού το αρχείο καταγραφής σας το έχει ήδη πει, και οι διαδρομές διαφέρουν μεταξύ εκδόσεων του Tunnelblick.

Γιατί άλλαξε το όνομα της οδηγίας

Το OpenVPN εισήγαγε το data-ciphers ως λίστα διαπραγμάτευσης στην 2.5, αντικαθιστώντας την παλαιότερη γραφή ncp-ciphers που καταργήθηκε σε εκείνη την έκδοση. Μια μηχανή 2.4 δεν έχει τέτοια επιλογή, οπότε σταματά στο πρώτο διακριτικό που δεν γνωρίζει. Ούτε η μεμονωμένη επιλογή cipher είναι παλαιότερο ψευδώνυμο της λίστας· ονομάζει ένα κρυπτογράφημα και όχι ένα σύνολο διαπραγμάτευσης.

Γι' αυτό η αντικατάσταση κειμένου μεταξύ εκδόσεων παράγει προφίλ που αναλύονται και μετά συμπεριφέρονται απρόσμενα, και γι' αυτό η αντιγραφή ενός αποσπάσματος από ανάρτηση φόρουμ δεν είναι έλεγχος έκδοσης. Τα ονόματα επιλογών μετακινήθηκαν μαζί με τη διαχείριση εφεδρικών και τις προεπιλογές, και ένα αρχείο που συναρμολογήθηκε με μετονομασία μίας οδηγίας δεν ισοδυναμεί με ένα γραμμένο για τη μηχανή.

Διορθώστε τη μηχανή ή το προφίλ, όχι το σύμπτωμα

Για μια υποστηριζόμενη ανάπτυξη, η διαρκής διόρθωση είναι ένας υποστηριζόμενος συνδυασμός Tunnelblick και μηχανής που δέχεται το προφίλ του χειριστή, τακτοποιημένος μέσω όποιου κατέχει την εγκατάσταση της εφαρμογής. Αν μια παλαιότερη εγκατάσταση πρέπει να μείνει για λίγο, ζητήστε προφίλ γραμμένο για εκείνη τη μηχανή και για τα κρυπτογραφήματα που δέχεται πραγματικά η πύλη.

Η διαγραφή των data-ciphers και data-ciphers-fallback καθαρίζει πράγματι αυτό το συγκεκριμένο σφάλμα ανάλυσης, και γι' αυτό ακριβώς είναι δελεαστική. Αλλάζει όμως και ποια κρυπτογραφήματα διαπραγματεύονται, σιωπηρά, σε μια διαμόρφωση ασφαλείας που δεν σκοπεύατε να επεξεργαστείτε. Κρατήστε το αρχικό προφίλ και συγκρίνετε αντ' αυτού τις υποστηριζόμενες ρυθμίσεις συνειδητά.

Δοκιμάστε ξανά και διαβάστε το επόμενο στάδιο

Μετά τη διόρθωση, δοκιμάστε ξανά τη σύνδεση και διαβάστε το νέο αρχείο καταγραφής από την αρχή αντί να υποθέσετε επιτυχία. Ένα προφίλ που τώρα αναλύεται μπορεί ακόμη να σταματήσει στη διαπραγμάτευση κρυπτογράφησης, στην επαλήθευση πιστοποιητικού, στην ταυτοποίηση ή στην δρομολόγηση, και καθεμία από αυτές τις αποτυχίες έχει τα δικά της στοιχεία.

Αν η διαπραγμάτευση αποτύχει, συγκρίνετε τα κρυπτογραφήματα που υποστηρίζουν τα δύο άκρα και εκείνα που επιτρέπεται να χρησιμοποιεί το καθένα. Αν η ταυτοποίηση αποτύχει, το προφίλ και η μηχανή τώρα λειτουργούν αρκετά καλά ώστε να έχουν φτάσει στην πύλη, κάτι που είναι πρόοδος αξίας καταγραφής. Το να σταματήσετε αυτή την αλυσίδα στο πρώτο ήσυχο αρχείο είναι ο τρόπος με τον οποίο αφαιρείται μια ρύθμιση ασφαλείας για λάθος λόγο.