Tunnelblick data-ciphers no reconocido: ¿qué motor se ejecutó?

Tunnelblick informa de una opción data-ciphers no reconocida, menciona OpenVPN 2.4 en la misma frase y la conexión nunca se inicia. Se trata de un fallo local de análisis y no de un desacuerdo de cifrado, porque el motor rechazó el perfil antes de que se produjera ninguna negociación con la puerta de enlace. El consejo habitual sobre la política de cifrado del servidor no puede ayudar aquí; primero el analizador tiene que entender el archivo. Averigüe qué motor lanzó realmente esta configuración concreta y el resto vendrá solo.

Lea la línea del registro antes de tocar el perfil

Abra la conexión fallida en la ventana de detalles de Tunnelblick y lea el registro desde arriba. Las primeras líneas indican la versión del motor y el perfil que se le entrega, seguidas de la opción que detuvo el análisis. Todo lo que viene después es ruido, porque el proceso ya ha terminado.

Anote tres datos de ese registro: la versión del motor, el nombre de la configuración y el mensaje exacto. Esos tres son todo el diagnóstico. También son lo que necesitará si resulta que la corrección exige cambiar la aplicación instalada. Haga una captura de pantalla de las líneas en lugar de parafrasearlas, porque los nombres de opción se escriben mal con facilidad cuando se repiten de memoria.

Confirme qué motor ejecuta esa configuración

Tunnelblick es una aplicación envuelta alrededor de un motor OpenVPN, y distintas configuraciones pueden ejecutar motores distintos. Compruebe la versión seleccionada para esta configuración en la ventana de detalles en lugar de leer la versión de la aplicación, y no sustituya el resultado por la salida de un binario openvpn de terminal que la configuración nunca utiliza. La guía de versiones de OpenVPN de Tunnelblick describe cómo funciona esa selección y dónde se guarda.

La distinción importa porque una máquina puede tener un binario moderno en el PATH y un motor 2.4 incluido detrás de la conexión que falló. El perfil lo evalúa el segundo.

openvpn --version
ls /Applications/Tunnelblick.app/Contents/Resources/openvpn/

Esos dos comandos muestran qué ejecutaría un terminal y qué directorios de motores lleva la aplicación instalada. Ninguno de los dos demuestra qué usó la configuración fallida, ya que el registro se lo ha dicho, y las rutas difieren entre versiones de Tunnelblick.

Por qué cambió el nombre de la directiva

OpenVPN introdujo data-ciphers como lista de negociación en la 2.5, sustituyendo la grafía anterior ncp-ciphers que quedó obsoleta en esa versión. Un motor 2.4 no tiene esa opción, así que se detiene en el primer token que no conoce. La opción única cipher tampoco es un alias antiguo de la lista; nombra un solo cifrado en lugar de un conjunto de negociación.

Por eso la sustitución de texto entre versiones produce perfiles que se analizan y luego se comportan de forma inesperada, y por eso copiar un fragmento de una publicación de foro no es una comprobación de versión. Los nombres de opción se desplazaron junto con el manejo de reserva y los valores predeterminados, y un archivo montado renombrando una directiva no equivale a uno escrito para el motor.

Arregle el motor o el perfil, no el síntoma

Para un despliegue compatible, la reparación duradera es una combinación compatible de Tunnelblick y motor que acepte el perfil del operador, organizada a través de quien posee la instalación de la aplicación. Si una instalación antigua tiene que quedarse un tiempo, pida un perfil escrito para ese motor y para los cifrados que la puerta de enlace acepta realmente.

Eliminar data-ciphers y data-ciphers-fallback sí que borra este error de análisis concreto, y por eso precisamente resulta tentador. También cambia qué cifrados se negocian, en silencio, en una configuración de seguridad que no pretendía editar. Conserve el perfil original y compare los ajustes compatibles de forma deliberada.

Vuelva a intentarlo y lea la siguiente etapa

Después de la corrección, vuelva a probar la conexión y lea el registro nuevo desde el principio en lugar de suponer que ha funcionado. Un perfil que ahora se analiza todavía puede detenerse en la negociación del cifrado, en la verificación del certificado, en la autenticación o en el enrutamiento, y cada uno de esos fallos tiene su propia evidencia.

Si falla la negociación, compare los cifrados que admiten ambos extremos con los que cada uno tiene permitidos. Si falla la autenticación, el perfil y el motor ahora funcionan lo bastante bien como para haber llegado a la puerta de enlace, lo cual es un avance que merece registrarse. Detener esa cadena en el primer registro silencioso es como se elimina un ajuste de seguridad por el motivo equivocado.