OpenVPN teatab, et ncp-disable on tundmatu: millega see asendati?

Klient keeldub käivitumast valikute veaga, mis mainib valikut ncp-disable, kuigi profiil töötas eelmises masinas. See teade ei tähenda, et valik on valesti kirjutatud või et krüpteerimine on katki. See tähendab, et teie ees olev binaarfail ei tunne seda direktiivi üldse, ja selleks on kaks väga erinevat põhjust. Kumb kehtib, otsustab, kas muudate profiili või vahetate kliendi.

Viga võib tulla uuemast binaarfailist

Tundmatu valiku viga puudutab parsijat, mitte tunnelit. OpenVPN 2.4 lisas läbiräägitavad šifriparameetrid, 2.5 kuulutas nende väljalülitamise lüliti aegunuks ja 2.6 eemaldas selle täielikult. Seetõttu ebaõnnestub 2.3 või 2.4 jaoks kirjutatud profiil praeguses kliendis, isegi kui failis pole midagi muutunud. Kaeblev versioon on uuem, mitte vanem.

Tehke enne millegi muutmist kindlaks, milline käivitatav fail teate tekitas. Töölauaklient toob kaasa oma mootori, samas kui eraldi paigaldatud käsurea binaarfailil on oma versioon. Need kaks võivad samas masinas erineda.

openvpn --version selgitab selle teie testitava binaarfaili jaoks. GUI-klient ei pruugi seda käsku näidata; sel juhul lugege selle teabeekraani või kaasas oleva teegi versiooni.

Mida valik tegelikult juhtis

Direktiiv lülitas välja krüptograafiliste parameetrite läbirääkimise, mistõttu mõlemad otsad langesid tagasi vanemale valikukäitumisele, mida juhtis säte cipher. See ei lülitanud kunagi krüpteerimist välja ega muutnud tunnelit avatekstiks. Selle lugemine turvalülitina on esimene vale pööre ja viib muudatusteni, mis teevad ühenduse pigem halvemaks kui paremaks.

Kui läbirääkimine on olemas, on samaväärne küsimus, milliseid šifreid kumbki pool kasutama on valmis. See on poliitika küsimus ja poliitika elab versioonis 2.5 ja hiljem failis data-ciphers.

Vanem nimi ncp-ciphers kuulub versioonile 2.4. Kahe nime segamine poolte vahel on sagedane ühesuunaliste läbirääkimistõrgete allikas. Profiil, mis kannab mõlemat, on profiil, mida on eri aegadel muutnud kaks inimest.

Asendage poliitika, mitte kirjapilt

Määrake data-ciphers mõlemal poolel kavandatud ühise valikuga ja hoidke nimekiri piisavalt lühike, et ülevaataja saaks selle üle järeldada. Ühe suvalise rea muutmine ei tõesta midagi; tulemus sõltub mõlema nimekirja ühisosast ja sellest, mida TLS-pinu toetab. Kinnitage poolte kokkuleppimist, lugedes läbiräägitud tulemust, mitte konfiguratsiooni. Seejärel kirjutage mõlemad nimekirjad juurutuskirjesse, et järgmine muudatus algaks teadaolevast olekust.

Uuendage profiili selle omaniku kaudu. Aegunud direktiivi peitmiseks ignoreerimisvaliku lisamine jätab poliitikaküsimuse vastamata.

Kui vanemal poolel on tõesti vaja ühilduvuskäsitlust, piirduge selle juurutusega. Aegunud käitumise ülemaailmne taastamine ei ole kaasaegsete poolte ühendamise eeldus. Erand peaks nimetama poolt, mille jaoks see on.

Kaks rida, mis näevad välja nagu šifrite nimekiri, aga ei ole

Kahe šifrirea kuhjamine ei taasta samuti läbirääkimist ja tulemuseks on profiil, mis näeb välja nagu nimekiri, kuid käitub ühe väärtusena. Rida AES-256-CBC-ga ja järgmine CBC-ga on sage katse. CBC üksi nimetab režiimi, mitte algoritmi, seega võib parsija selle ühes pesas vastu võtta ja järgmises tagasi lükata. Korduvad cipher direktiivid määravad sama valiku kaks korda, selle asemel et kandidaate koguda.

Kontrollige aktsepteeritud nimesid käsuga openvpn --show-ciphers sihtbinaarfailil, selle asemel et kopeerida nimekiri teise haru jaoks kirjutatud juhendist. Nimekiri muutub väljaannete vahel. Ühes harus kehtiv nimi ei pruugi teises kehtida.

Kui eesmärk oli jõudluse võrdlus, kirjutage üles algoritmid ja koormus. CBC-le üleminek ei ole krüpteerimise puudumise mõõtmine.

Kontrollige, mida ühendus tegelikult läbi rääkis

Looge värske ühendus ja lugege logis andmekanali rida, mis nimetab kasutatavat šifrit. Juhtkanali komplekt otsustatakse eraldi, seega näitab failis lubatud nimekiri ainult seda, mida pakuti. Kui kaks poolt valisid midagi, mida te ei oodanud, tuleb vaadata nimekirju, mitte tunneli liidest. Kinnitage tulemus teisel ühendusel pärast iga muudatust, sest üks taaskäivitus võib vahemällu salvestatud seanssi uuesti kasutada.

Hoidke läbiräägitud tulemust juurutuskirjes profiili versiooni kõrval. Just see fakt vastab järgmisele küsimusele, milline šifer tegelikult liiklust kaitseb.