OpenVPN seit dat ncp-disable ûnbekend is: wat hat it ferfongen?

De klant wegeret te starten mei in opsjeflater dy't ncp-disable neamt, wylst it profyl op 'e foarige masine wurke. Dy melding betsjinnet net dat de opsje ferkeard stavere is of dat fersifering stikken is. Se betsjinnet dat de binary foar jo de rjochtline hielendal net ken, en dêr binne twa hiel ferskillende redenen foar. Hokker jildt, beslút oft jo it profyl bewurkje of de klant feroarje.

De flater kin fan in nijer binary komme

In flater oer in ûnbekende opsje giet oer de parser, net oer de tunnel. OpenVPN 2.4 foege ûnderhannele fersiferingsparameters ta, 2.5 ferklearre de skeakel dy't se útskeakele foar ferâldere, en 2.6 helle dy hielendal fuort. Dêrom mislearret in profyl skreaun foar 2.3 of 2.4 op in hjoeddeiske klant, sels as der neat yn it bestân feroare is. De ferzje dy't klaget is nijer, net âlder.

Fyn út hokker útfierber bestân de melding produsearre foardat jo wat dan ek bewurkje. In buroblêdklant bringt syn eigen motor mei, wylst in apart ynstallearre binary foar de kommandorigel syn eigen ferzje hat. De twa kinne op deselde masine faninoar ferskille.

openvpn --version beslist it foar de binary dy't jo testen. In GUI-klant lit dy opdracht miskien net sjen; lês dan syn oer-skerm of de ferzje fan 'e meinommene bibleteek.

Wat de opsje eins regele

De rjochtline skeakele de ûnderhanneling fan kryptografyske parameters út, sadat beide kanten weromfoelen op âlder seleksjegedrach stjoerd troch de ynstelling cipher. Se skeakele nea fersifering út en se feroare de tunnel nea yn platte tekst. It lêzen as in feiligensskeakel is de earste ferkearde draai, en it liedt ta feroarings dy't de ferbining slimmer meitsje ynstee fan better.

As ûnderhanneling bestiet, is de lykweardige fraach hokker fersiferings elke kant brûke wol. Dat is in beliedsfraach, en belied wennet yn data-ciphers fan 2.5 ôf.

De âldere namme ncp-ciphers heart by 2.4. It mingen fan 'e twa nammen tusken kanten is in faak foarkommende boarne fan ienrjochting-ûnderhannelingsflaters. In profyl dat beide draacht is in profyl bewurke troch twa minsken op ferskate tiden.

Ferfang it belied, net de stavering

Set data-ciphers oan beide kanten mei in bedoelde mienskiplike kar, en hâld de list koart genôch dat in beoardieler der oer neitinke kin. Ien willekeurige rigel feroarje bewiist neat; it resultaat hinget ôf fan 'e krusing fan beide listen en fan wat de TLS-stapel stipet. Befêstigje dat de kanten it iens binne troch it ûnderhannele resultaat te lêzen ynstee fan 'e konfiguraasje. Skriuw dan beide listen yn it implementaasjerekord, sadat de folgjende feroaring fan in bekende steat útgiet.

Wurkje it profyl by fia wa't it besit. It tafoegjen fan in negearopsje om in ferâldere rjochtline te ferbergjen lit de beliedsfraach ûnbeantwurde.

As in âldere kant echt komptabiliteitsbehanneling nedich hat, behein it dan ta dy implementaasje. It wrêldwiid weromsetten fan ferâldere gedrach is gjin betingst om moderne kanten te ferbinen. De útsûndering soe de kant neame moatte dêr't se foar bestiet.

Twa rigels dy't op in fersiferingslist lykje mar it net binne

Twa fersiferingsrigels opinoar steapelje herstelt de ûnderhanneling ek net, en it resultaat is in profyl dat op in list liket wylst it him as ien wearde gedraacht. In rigel mei AES-256-CBC en de folgjende mei CBC is in gewoane poging. CBC allinnich neamt in modus, net in algoritme, dat in parser kin it op ien plak akseptearje en op it folgjende ôfwize. Werhelle cipher-rjochtlinen sette deselde opsje twa kear ynstee fan kandidaten te sammeljen.

Kontrolearje akseptearre nammen mei openvpn --show-ciphers op 'e doelbinary ynstee fan in list te kopiearjen út in gids skreaun foar in oare tûke. De list feroaret tusken releases. In namme dy't jildich is yn ien tûke is net needsaaklik jildich yn 'e oare.

As it doel in prestaasjefergeliking wie, skriuw dan de algoritmen en de wurkbelesting op. Oerstappe nei CBC is gjin mjitting fan it ûntbrekken fan fersifering.

Kontrolearje wat de ferbining eins ûnderhannele hat

Bring in nije ferbining op en lês de datakanaal-rigel yn it log, dy't de brûkte fersifering neamt. De kontrôlekanaal-suite wurdt apart besletten, dat de tastiene list yn it bestân lit allinnich sjen wat oanbean waard. As de twa kanten eat keazen dat jo net ferwachten, binne de listen it plak om te sjen, net de tunnelinterface. Befêstigje it resultaat op in twadde ferbining nei elke feroaring, want ien werstart kin in cache-sesje werbrûke.

Hâld it ûnderhannele resultaat yn it implementaasjerekord njonken de profylferzje. Dat is it feit dat de folgjende fraach beantwurdet oer hokker fersifering it ferkear echt beskermet.