AES-256-GCM ei leitud: kliendi võimekus või läbirääkimine?

OpenVPN-i profiil, mis töötab mujal, teatab, et AES-256-GCM ei leita, või et osapooltel pole ühist šifrit, ja esimene tung on profiili muuta. Need kaks sõnumit kirjeldavad erinevaid tõrkeid. Üks ütleb, et kohalikus programmis pole sellist algoritmi; teine, et mõlemal poolel on algoritmid, kuid mitte ühist valikut. Profiili muutmine ei paranda kumbagi enne, kui teate, milline neist teil on.

Lugege täpset veateksti ja programmi, mis selle tekitas.

Tehke kindlaks, milline viga teil on

Sõnum leidmata šifri kohta tuleb valikute analüüsist kohalikus masinas enne, kui ükski pakett saadetakse. See tähendab, et teie ees olev käivitatav fail või teek, millega see on lingitud, ei paku seda algoritmi. Sõnum ühise šifri puudumise kohta saabub hiljem läbirääkimise ajal ja tähendab, et mõlemad pooled toetavad šifreid, kuid ei suuda ühes kokku leppida.

Erinevus loeb, sest üks on tarkvara versiooni ja teine seadistuse probleem. Esimese lahendab versiooninumber. Teise lahendab kahe nimekirja võrdlemine.

Kohalik võimekuselünk

Vanad kogukonna koostised on varasemad kui kaasaegsed vaikeväärtused, ja töölauarakendus võib tuua kaasa oma mootori, mis erineb kõrval paigaldatud käsureapaketist. Tehke kontrollid käivitatava faili peal, mis tegelikult ühenduse käivitas, ja valige siis toetatud koostis, selle asemel et õpetada vanale programmile uut algoritmi.

openvpn --version
openvpn --show-ciphers | grep -i gcm
openvpn --show-tls | head -5

Kui AES-256-GCM selles nimekirjas ei esine, ei lisa seda ükski profiilirida. Lahendus on uuem klient või teine koostis, ja vanema poole piirangud muutuvad eraldi disainiküsimuseks.

OpenVPN 3-l põhinevate klientide puhul erinevad mootor ja aktsepteeritud direktiivid kogukonna 2.x liinist, seega võib sama profiilitekst ebaõnnestuda põhjustel, millel pole šifrinimekirjaga mingit seost.

Läbirääkimiselünk

Kui mõlemad osapooled algoritmi loetlevad, jääb küsimus, millist nimekirja kumbki pool pakub. Kogukonna OpenVPN nimetas läbirääkimisdirektiivi ümber: ncp-ciphers versioonis 2.4 sai versioonis 2.5 data-ciphers-iks ja versioonis 2.6 teenib vanem cipher-rida peamiselt ühilduvust ja varuvarianti, mitte läbiräägitud komplekti määramist.

Seetõttu võib ainult vana cipher-rea muutmine jätta läbirääkimisnimekirja puutumata. Vana rida on varuvariandi jaoks endiselt oluline ja see on eraldi töö. Kahe segamine annab muudatused, mis ei muuda midagi nähtavat.

openvpn --version | head -2
grep -n -E '^(data-ciphers|ncp-ciphers|cipher|tls-cipher)' server.conf client.ovpn

Võrrelge mõlema otsa nimekirju ja serveri keeldumisteatet. Kui lõige on tühi, joondage nimekirjad teadlikult, selle asemel et kopeerida väärtust teise versiooni jaoks kirjutatud artiklist. Liiga helde nimekiri nõrgendab vaikselt iga ühendust. Liiga kitsas nimekiri jätab välja osapoole, mille soovisite alles hoida.

Hoidke ühilduvus selgesõnaline

Ühe vana osapoole jaoks mõeldud varuvariant on otsus, millel on hind: kogu juurutus võtab vastu nõrgema valiku, et üks seade saaks ühenduda. Kirjutage see nii üles ja piirduge osapoolega, kes seda vajab.

Tulemuse otsustavad kaks tingimust. Kui viga on kohalik, vahetage koostis. Kui viga on läbirääkimises, joondage nimekirjad mõlemas otsas ja kirjutage üles, milliseid versioone toetate.

Seejärel teatage täpne viga, lisades versiooni ja võimekuse väljundi. See paar eraldab puuduva algoritmi lahkarvamusest ja peatab järgmise oletuslike muudatuste ringi enne selle algust.