OpenVPNek ncp-disable ezezaguna dela dio: zerk ordezkatu zuen?

Bezeroak uko egiten dio abiarazteari ncp-disable aipatzen duen aukera-errore batekin, nahiz eta profila aurreko makinan funtzionatzen zuen. Mezu horrek ez du esan nahi aukera gaizki idatzita dagoenik edo enkriptatzea hautsi denik. Esan nahi du zure aurrean dagoen bitarrak ez duela direktiba batere ezagutzen, eta horretarako bi arrazoi oso desberdin daude. Zein den aplikatzen den erabakitzen du profilak editatu edo bezeroa aldatu behar duzun.

Errorea bitar berriago batetik etor daiteke

Aitortu gabeko aukeraren errorea analizatzaileari dagokio, ez tuneleari. OpenVPN 2.4 bertsioak negozia daitezkeen zifratze-parametroak gehitu zituen, 2.5 bertsioak haiek desaktibatzen zituen etengailua zaharkitutzat jo zuen, eta 2.6 bertsioak erabat kendu zuen. Horregatik, 2.3 edo 2.4 bertsiorako idatzitako profil batek huts egiten du uneko bezero batean, nahiz eta fitxategian ezer aldatu ez. Kexatzen den bertsioa berriagoa da, ez zaharragoa.

Edozer editatu aurretik, aurkitu zein exekutagarrik sortu zuen mezua. Mahaigaineko bezeroak bere motorra darama, eta bereiz instalatutako komando-lerroko bitarrak bere bertsioa du. Biak desberdinak izan daitezke makina berean.

openvpn --version komandoak argitzen du probatzen ari zaren bitarrerako. Baliteke GUI bezero batek komando hori erakustea; kasu horretan, irakurri haren buruzko pantaila edo barnean duen liburutegiaren bertsioa.

Zer kontrolatzen zuen benetan aukerak

Direktibak parametro kriptografikoen negoziazioa desaktibatzen zuen, beraz bi muturrak cipher ezarpenak gidatutako hautapen-jokabide zaharrago batera itzultzen ziren. Ez zuen inoiz enkriptatzea desaktibatu, eta ez zuen inoiz tunela testu huts bihurtu. Segurtasun-etengailu gisa irakurtzea lehen bira okerra da, eta konexioa hobera baino okerrago egiten duten aldaketak ekartzen ditu.

Negoziazioa badago, baliokidea den galdera da zein zifratze erabiltzeko prest dagoen alde bakoitza. Politika-kontua da, eta politika 2.5etik aurrera data-ciphers barruan bizi da.

ncp-ciphers izen zaharra 2.4 bertsioarena da. Bi izenak pareen artean nahastea norabide bakarreko negoziazio-hutsegiteen iturri ohikoa da. Biak daramatzan profila bi pertsonek une desberdinetan editaturiko profila da.

Ordezkatu politika, ez ortografia

Ezarri data-ciphers bi pareetan nahi den aukera partekatu batekin, eta mantendu zerrenda nahikoa labur berrikusle batek hari buruz pentsatu ahal izan dezan. Ausazko lerro bat aldatzeak ez du ezer frogatzen; emaitza bi zerrenden ebakiduraren eta TLS pila onartzen duenaren araberakoa da. Berretsi pareak ados daudela negoziatutako emaitza irakurriz, ez konfigurazioa. Ondoren, idatzi bi zerrendak zabalkunde-erregistroan, hurrengo aldaketa egoera ezagun batetik has dadin.

Eguneratu profila haren jabearen bitartez. Direktiba zaharkitu bat ezkutatzeko ignoratzeko aukera bat gehitzeak politika-galdera erantzunik gabe uzten du.

Pare zahar batek benetan bateragarritasun-tratamendua behar badu, mugatu zabalkunde horretara. Jokabide zaharkitua modu globalean berrezartzea ez da pare modernoak konektatzeko aldez aurreko baldintza. Salbuespenak existitzen den parearen izena eman beharko luke.

Zifratze-zerrenda diruditen bi lerro, baina ez dira

Bi zifratze-lerro pilatzeak ere ez du negoziazioa berrezartzen, eta emaitza zerrenda dirudien baina balio bakar gisa jokatzen duen profil bat da. Lerro bat AES-256-CBC-rekin eta hurrengoa CBC-rekin ohiko saiakera da. CBC bakarrik modu baten izena ematen du, ez algoritmoarena, beraz analizatzaileak zirrikitu batean onar dezake eta hurrengoan baztertu. cipher direktiba errepikatuek aukera bera bi aldiz ezartzen dute, hautagaiak metatu beharrean.

Egiaztatu onartutako izenak openvpn --show-ciphers erabiliz helburuko bitarrean, beste adar baterako idatzitako gida batetik zerrenda kopiatu beharrean. Zerrenda aldatzen da bertsioen artean. Adar batean baliozkoa den izena ez da nahitaez bestean baliozkoa.

Helburua errendimendu-konparazioa bazen, erregistratu algoritmoak eta karga-lana. CBC-ra aldatzea ez da enkriptatzerik ez dagoela neurtzeko modu bat.

Egiaztatu konexioak zer negoziatu duen benetan

Ezarri konexio berri bat eta irakurri erregistroko datu-kanalaren lerroa, erabiltzen ari den zifratzearen izena ematen duena. Kontrol-kanalaren sorta bereiz erabakitzen da, beraz fitxategiko baimendutako zerrendak eskainitakoa baino ez du erakusten. Bi pareek espero ez zenuen zerbait aukeratu dutenean, zerrendak dira begiratzeko tokia, ez tunelaren interfazea. Berretsi emaitza bigarren konexio batean edozein aldaketen ondoren, berrabiarazte batek cachean gordetako saioa berrerabil dezakeelako.

Gorde negoziatutako emaitza zabalkunde-erregistroan, profilaren bertsioaren ondoan. Hori da zein zifratzek babesten duen trafikoa benetan erantzuten duen hurrengo galderari erantzuten dion egitatea.