OpenVPN diras, ke ncp-disable estas nekonata: kio anstataŭis ĝin?

La kliento rifuzas ekstarti kun opcio-eraro nomanta ncp-disable, dum la profilo funkciis sur la antaŭa maŝino. Tiu mesaĝo ne signifas, ke la opcio estas misliterumita aŭ ke ĉifrado estas rompita. Ĝi signifas, ke la duuma dosiero antaŭ vi tute ne konas la direktivon, kaj por tio ekzistas du tre malsamaj kialoj. Kiu validas decidas, ĉu vi redaktu la profilon aŭ ŝanĝu la klienton.

La eraro povas veni de pli nova duuma dosiero

Ero pri nerekonebla opcio temas pri la analizilo, ne pri la tunelo. OpenVPN 2.4 aldonis intertrakteblajn ĉifrajn parametrojn, 2.5 deklaris malnoviĝinta la ŝaltilon, kiu malŝaltis ilin, kaj 2.6 forigis ĝin tute. Tial profilo skribita por 2.3 aŭ 2.4 malsukcesas ĉe nuna kliento, eĉ se nenio en la dosiero ŝanĝiĝis. La versio, kiu plendas, estas pli nova, ne pli malnova.

Trovu, kiu plenumebla dosiero produktis la mesaĝon antaŭ ol redakti ion ajn. Labortabla kliento kunportas sian propran motoron, dum aparte instalita komandlinia duuma dosiero havas sian propran version. La du povas malkonsenti sur la sama maŝino.

openvpn --version solvas tion por la duuma dosiero, kiun vi testas. GUI-kliento eble ne montras tiun komandon, kaj tiuokaze legu ĝian pri-ekranon aŭ la version de la enpakita biblioteko.

Kion la opcio fakte regis

La direktivo malŝaltis la intertraktadon de kriptografiaj parametroj, do ambaŭ flankoj reiris al pli malnova selektokonduto regata de la agordo cipher. Ĝi neniam malŝaltis ĉifradon, kaj ĝi neniam transformis la tunelon en klartekston. Legi ĝin kiel sekurecan ŝaltilon estas la unua malĝusta turniĝo, kaj ĝi kondukas al ŝanĝoj, kiuj igas la konekton pli malbona anstataŭ pli bona.

Post kiam intertraktado ekzistas, la ekvivalenta demando estas, kiujn ĉifrilojn ĉiu flanko pretas uzi. Tio estas politika demando, kaj politiko loĝas en data-ciphers ekde 2.5.

La pli malnova nomo ncp-ciphers apartenas al 2.4. Miksi la du nomojn inter partneroj estas ofta fonto de unudirektaj intertraktadomalsukcesoj. Profilo portanta ambaŭ estas profilo redaktita de du homoj en malsamaj tempoj.

Anstataŭigu la politikon, ne la literumon

Agordu data-ciphers ĉe ambaŭ partneroj kun intencita komuna elekto, kaj tenu la liston sufiĉe mallonga por ke recenzanto povu pripensi ĝin. Ŝanĝi unu arbitran linion pruvas nenion; la rezulto dependas de la komunaĵo de ambaŭ listoj kaj de tio, kion subtenas la TLS-stako. Konfirmu, ke la partneroj konsentas, legante la intertraktitan rezulton anstataŭ la agordon. Poste skribu la du listojn en la surlokigan protokolon, por ke la sekva ŝanĝo komenciĝu de konata stato.

Ĝisdatigu la profilon per tiu, kiu posedas ĝin. Aldoni ignoran opcion por kaŝi malnoviĝintan direktivon lasas la politikan demandon senresponda.

Se pli malnova partnero vere bezonas traktadon de kongruo, limigu ĝin al tiu surlokigo. Restarigi malnoviĝintan konduton tutmonde ne estas antaŭkondiĉo por konekti modernajn partnerojn. La escepto devus nomi la partneron, por kiu ĝi ekzistas.

Du linioj, kiuj aspektas kiel ĉifrila listo sed ne estas

Staki du ĉifrajn liniojn ankaŭ ne restarigas intertraktadon, kaj la rezulto estas profilo, kiu aspektas kiel listo dum ĝi kondutas kiel unu valoro. Linio nomanta AES-256-CBC kaj la sekva nomanta CBC estas ofta provo. CBC sola nomas reĝimon anstataŭ algoritmon, do analizilo povas akcepti ĝin en unu loko kaj malakcepti ĝin en la sekva. Ripetitaj cipher direktivoj agordas la saman opcion dufoje anstataŭ akumuli kandidatojn.

Kontrolu akceptitajn nomojn per openvpn --show-ciphers sur la cela duuma dosiero anstataŭ kopii liston el gvidilo skribita por alia branĉo. La listo ŝanĝiĝas inter eldonoj. Nomo valida en unu branĉo ne nepre validas en la alia.

Se la celo estis rendimenta komparo, notu la algoritmojn kaj la laborŝarĝon. Ŝanĝi al CBC ne estas mezuro de forestanta ĉifrado.

Kontrolu, kion la konekto fakte intertraktis

Starigu freŝan konekton kaj legu la datkanalan linion en la protokolo, kiu nomas la uzatan ĉifrilon. La kontrola kanala suito decidiĝas aparte, do la permesita listo en la dosiero montras nur tion, kio estis proponita. Kiam la du partneroj elektis ion, kiun vi ne atendis, la listoj estas la loko por rigardi anstataŭ la tunela interfaco. Konfirmu la rezulton sur dua konekto post ajna ŝanĝo, ĉar unu restartigo povas reuzi kaŝmemorigitan sesion.

Konservu la intertraktitan rezulton en la surlokiga protokolo apud la profila versio. Ĝuste tiu fakto respondas la sekvan demandon pri tio, kiu ĉifrilo vere protektas la trafikon.