Tunnelblick data-ciphers non reconnu : quel moteur s’exécutait ?

Tunnelblick signale une option data-ciphers non reconnue, mentionne OpenVPN 2.4 dans la même phrase, et la connexion ne démarre jamais. Il s’agit d’un échec d’analyse local et non d’un désaccord de chiffrement, car le moteur a rejeté le profil avant qu’aucune négociation avec la passerelle n’ait eu lieu. Le conseil habituel sur la politique de chiffrement du serveur ne peut pas aider ici ; l’analyseur doit d’abord comprendre le fichier. Identifiez le moteur que cette configuration précise a réellement lancé, et le reste suit.

Lisez la ligne du journal avant de toucher au profil

Ouvrez la connexion en échec dans la fenêtre de détails de Tunnelblick et lisez le journal depuis le début. Les premières lignes nomment la version du moteur et le profil qui lui est remis, suivies de l’option qui a arrêté l’analyse. Tout ce qui suit est du bruit, car le processus s’est terminé.

Notez trois faits de ce journal : la version du moteur, le nom de la configuration et le message exact. Ces trois éléments constituent tout le diagnostic. Ils sont aussi ce dont vous aurez besoin si la correction s’avère exiger une modification de l’application installée. Faites une capture d’écran des lignes plutôt que de les paraphraser, car les noms d’option sont faciles à mal recopier lorsqu’on les répète de mémoire.

Confirmez quel moteur cette configuration exécute

Tunnelblick est une application construite autour d’un moteur OpenVPN, et différentes configurations peuvent exécuter différents moteurs. Vérifiez la version sélectionnée pour cette configuration dans la fenêtre de détails plutôt que de lire la version de l’application, et ne la remplacez pas par la sortie d’un binaire openvpn de terminal que la configuration n’utilise jamais. Le guide des versions d’OpenVPN de Tunnelblick décrit comment cette sélection fonctionne et où le choix est stocké.

La distinction compte, car une machine peut avoir un binaire moderne dans le PATH et un moteur 2.4 fourni derrière la connexion qui a échoué. Le profil est évalué par le second.

openvpn --version
ls /Applications/Tunnelblick.app/Contents/Resources/openvpn/

Ces deux commandes montrent ce qu’un terminal exécuterait et quels répertoires de moteurs l’application installée contient. Ni l’une ni l’autre ne prouve ce que la configuration en échec a utilisé, puisque le journal vous l’a déjà dit, et les chemins diffèrent entre les versions de Tunnelblick.

Pourquoi le nom de la directive a changé

OpenVPN a introduit data-ciphers comme liste de négociation en 2.5, remplaçant l’ancienne orthographe ncp-ciphers devenue obsolète dans cette version. Un moteur 2.4 n’a pas cette option, il s’arrête donc au premier jeton qu’il ne connaît pas. L’option unique cipher n’est pas non plus un ancien alias de la liste ; elle nomme un seul chiffrement plutôt qu’un ensemble de négociation.

C’est pourquoi la substitution de texte entre versions produit des profils qui s’analysent puis se comportent de façon inattendue, et pourquoi copier un fragment d’un message de forum n’est pas une vérification de version. Les noms d’option ont évolué avec la gestion des solutions de repli et les valeurs par défaut, et un fichier assemblé en renommant une seule directive n’équivaut pas à un fichier écrit pour le moteur.

Corrigez le moteur ou le profil, pas le symptôme

Pour un déploiement pris en charge, la réparation durable est une combinaison prise en charge de Tunnelblick et de moteur qui accepte le profil de l’opérateur, organisée par la personne responsable de l’installation de l’application. Si une installation plus ancienne doit rester un moment, demandez un profil écrit pour ce moteur et pour les chiffrements que la passerelle accepte réellement.

Supprimer data-ciphers et data-ciphers-fallback élimine effectivement cette erreur d’analyse précise, et c’est exactement pour cela que c’est tentant. Cela modifie aussi quels chiffrements sont négociés, en silence, dans une configuration de sécurité que vous ne comptiez pas modifier. Conservez le profil d’origine et comparez plutôt délibérément les paramètres pris en charge.

Réessayez et lisez l’étape suivante

Après la correction, réessayez la connexion et lisez le nouveau journal depuis le début plutôt que de supposer le succès. Un profil qui s’analyse désormais peut encore s’arrêter à la négociation du chiffrement, à la vérification du certificat, à l’authentification ou au routage, et chacun de ces échecs a ses propres preuves.

Si la négociation échoue, comparez les chiffrements que les deux pairs prennent en charge et ceux que chacun est configuré à autoriser. Si l’authentification échoue, le profil et le moteur fonctionnent désormais assez bien pour avoir atteint la passerelle, ce qui est un progrès qui mérite d’être consigné. Arrêter cette chaîne au premier journal silencieux est la façon dont un réglage de sécurité est supprimé pour la mauvaise raison.