OpenVPN ilmoittaa ncp-disablen olevan tuntematon: millä se korvattiin?

Asiakasohjelma kieltäytyy käynnistymästä asetusvirheellä, joka mainitsee asetuksen ncp-disable, vaikka profiili toimi edellisellä koneella. Viesti ei tarkoita, että asetus olisi kirjoitettu väärin tai että salaus olisi rikki. Se tarkoittaa, että edessäsi oleva binaari ei tunne direktiiviä lainkaan, ja siihen on kaksi hyvin erilaista syytä. Kumpi pätee, ratkaisee muokkaatko profiilia vai vaihdatko asiakasohjelman.

Virhe voi tulla uudemmasta binaarista

Tuntemattoman asetuksen virhe koskee jäsentäjää, ei tunnelia. OpenVPN 2.4 lisäsi neuvoteltavat salausparametrit, 2.5 julisti ne poistaneen kytkimen vanhentuneeksi ja 2.6 poisti sen kokonaan. Siksi versiolle 2.3 tai 2.4 kirjoitettu profiili epäonnistuu nykyisessä asiakasohjelmassa, vaikka tiedostossa ei olisi muuttunut mikään. Valittava versio on uudempi, ei vanhempi.

Selvitä, mikä suoritettava tiedosto tuotti viestin ennen kuin muokkaat mitään. Työpöytäasiakas tuo mukanaan oman moottorinsa, kun taas erikseen asennettu komentorivin binaari sisältää oman versionsa. Nämä kaksi voivat olla eri mieltä samalla koneella.

openvpn --version ratkaisee asian testattavan binaarin osalta. GUI-asiakas ei välttämättä näytä kyseistä komentoa, jolloin lue sen tietoikkuna tai mukana tulevan kirjaston versio.

Mitä asetus todella ohjasi

Direktiivi poisti käytöstä salausparametrien neuvottelun, joten molemmat päät putosivat vanhempaan valintakäyttäytymiseen, jota cipher-asetus ohjasi. Se ei koskaan poistanut salausta käytöstä eikä koskaan muuttanut tunnelia selkokieliseksi. Sen lukeminen turvakytkimeksi on ensimmäinen väärä käännös, ja se johtaa muutoksiin, jotka tekevät yhteydestä huonomman eikä paremman.

Kun neuvottelu on olemassa, vastaava kysymys on, mitä salausmenetelmiä kumpikin osapuoli on valmis käyttämään. Se on käytäntökysymys, ja käytäntö asuu data-ciphers-asetuksessa versiosta 2.5 alkaen.

Vanhempi nimi ncp-ciphers kuuluu versiolle 2.4. Kahden nimen sekoittaminen osapuolten välillä on yleinen syy yksisuuntaisiin neuvotteluvirheisiin. Profiili, joka kantaa molempia, on profiili, jota kaksi ihmistä on muokannut eri aikoina.

Korvaa käytäntö, älä kirjoitusasu

Aseta data-ciphers molemmille osapuolille aiottu yhteinen valinta ja pidä lista riittävän lyhyenä, jotta arvioija voi pohtia sitä. Yhden mielivaltaisen rivin muuttaminen ei todista mitään; tulos riippuu molempien listojen leikkauksesta ja siitä, mitä TLS-pino tukee. Varmista osapuolten yksimielisyys lukemalla neuvoteltu tulos konfiguraation sijaan. Kirjoita sitten molemmat listat käyttöönoton muistiin, jotta seuraava muutos alkaa tunnetusta tilasta.

Päivitä profiili sen omistajan kautta. Vanhentuneen direktiivin piilottava ohitusasetus jättää käytäntökysymyksen vaille vastausta.

Jos vanhempi osapuoli todella tarvitsee yhteensopivuuskäsittelyä, rajaa se kyseiseen käyttöönottoon. Vanhentuneen käyttäytymisen palauttaminen maailmanlaajuisesti ei ole edellytys nykyaikaisten osapuolten yhdistämiselle. Poikkeuksen tulisi nimetä osapuoli, jota varten se on.

Kaksi riviä, jotka näyttävät salauslistalta mutta eivät ole

Kahden salausrivin pinoaminen ei sekään palauta neuvottelua, ja tuloksena on profiili, joka näyttää listalta mutta käyttäytyy kuin yksittäinen arvo. Rivi, jossa on AES-256-CBC, ja seuraava, jossa on CBC, on yleinen yritys. CBC yksin nimeää tilan eikä algoritmia, joten jäsentäjä voi hyväksyä sen yhdessä paikassa ja hylätä seuraavassa. Toistuvat cipher-direktiivit asettavat saman asetuksen kahdesti sen sijaan, että ne kerryttäisivät ehdokkaita.

Tarkista hyväksytyt nimet komennolla openvpn --show-ciphers kohdebinaarissa sen sijaan, että kopioisit listan toiselle haaralle kirjoitetusta oppaasta. Lista muuttuu julkaisujen välillä. Yhdessä haarassa kelvollinen nimi ei välttämättä ole kelvollinen toisessa.

Jos tavoitteena oli suorituskykyvertailu, kirjaa algoritmit ja kuormitus. CBC:hen siirtyminen ei ole mittaus salauksen puuttumisesta.

Tarkista, mitä yhteys todella neuvotteli

Avaa uusi yhteys ja lue lokin datakanavarivi, joka nimeää käytössä olevan salauksen. Ohjauskanavan sarja päätetään erikseen, joten tiedostossa oleva sallittu lista näyttää vain sen, mitä tarjottiin. Kun kaksi osapuolta valitsivat jotain, jota et odottanut, listat ovat oikea paikka katsoa, ei tunnelin rajapinta. Vahvista tulos toisella yhteydellä jokaisen muutoksen jälkeen, koska yksi uudelleenkäynnistys voi käyttää uudelleen välimuistiin tallennettua istuntoa.

Säilytä neuvoteltu tulos käyttöönoton muistiinpanossa profiiliversion vieressä. Juuri tämä tosiasia vastaa seuraavaan kysymykseen siitä, mikä salaus todella suojaa liikennettä.