OpenVPN di que ncp-disable é descoñecido: que o substituíu?

O cliente négase a arrincar cun erro de opcións que menciona ncp-disable, e o perfil funcionaba na máquina anterior. Esa mensaxe non significa que a opción estea mal escrita nin que o cifrado estea roto. Significa que o binario que ten diante non coñece a directiva en absoluto, e hai dúas razóns moi distintas para iso. Cal se aplique decide se edita o perfil ou cambia o cliente.

O erro pode vir dun binario máis novo

Un erro de opción non recoñecida ten que ver co analizador, non co túnel. OpenVPN 2.4 engadiu parámetros de cifrado negociables, a 2.5 declarou obsoleto o interruptor que os desactivaba e a 2.6 eliminouno por completo. Por iso un perfil escrito para a 2.3 ou a 2.4 falla nun cliente actual aínda que nada do ficheiro cambiase. A versión que se queixa é máis nova, non máis antiga.

Descubra que executábel produciu a mensaxe antes de editar nada. Un cliente de escritorio inclúe o seu propio motor, mentres que un binario de liña de ordes instalado á parte ten a súa propia versión. Os dous poden non coincidir na mesma máquina.

openvpn --version resólveo para o binario que está a probar. Pode que un cliente con GUI non expoña esa orde; nese caso, lea a súa pantalla de información ou a versión da biblioteca incluída.

Que controlaba realmente a opción

A directiva desactivaba a negociación de parámetros criptográficos, de modo que ambos os extremos volvían a un comportamento de selección máis antigo gobernado polo axuste cipher. Nunca desactivou o cifrado nin converteu o túnel en texto simples. Leela como un interruptor de seguridade é o primeiro xiro equivocado, e leva a cambios que empeoran a conexión en lugar de mellorala.

Unha vez que existe a negociación, a pregunta equivalente é que cifrados está disposto a usar cada lado. É unha cuestión de política, e a política vive en data-ciphers desde a 2.5.

O nome máis antigo ncp-ciphers pertence á 2.4. Mesturar os dous nomes entre pares é unha fonte habitual de fallos de negociación nun só sentido. Un perfil que leva ambos é un perfil editado por dúas persoas en momentos distintos.

Substitúa a política, non a ortografía

Defina data-ciphers nos dous pares cunha escolla compartida pretendida e manteña a lista o bastante curta para que un revisor poida razoar sobre ela. Cambiar unha liña arbitraria non demostra nada; o resultado depende da intersección das dúas listas e do que admita a pila TLS. Confirme que os pares coinciden lendo o resultado negociado en lugar da configuración. Despois escriba as dúas listas no rexistro de despregamento para que o seguinte cambio parta dun estado coñecido.

Actualice o perfil a través de quen o posúa. Engadir unha opción de ignorar para ocultar unha directiva obsoleta deixa a cuestión de política sen resposta.

Se un par máis antigo necesita de verdade un tratamento de compatibilidade, límiteo a ese despregamento. Restaurar globalmente un comportamento obsoleto non é un requisito previo para conectar pares modernos. A excepción debería nomear o par para o que existe.

Dúas liñas que parecen unha lista de cifrados e non o son

Apilar dúas liñas de cifrado tampouco restaura a negociación, e o resultado é un perfil que parece unha lista mentres se comporta como un só valor. Unha liña con AES-256-CBC e a seguinte con CBC é un intento habitual. CBC por si só nomea un modo, non un algoritmo, así que un analizador pode aceptalo nunha posición e rexeitalo na seguinte. As directivas cipher repetidas fixan a mesma opción dúas veces en lugar de acumular candidatos.

Comprobe os nomes aceptados con openvpn --show-ciphers no binario de destino en lugar de copiar unha lista dunha guía escrita para outra rama. A lista cambia entre versións. Un nome válido nunha rama non é necesariamente válido na outra.

Se o obxectivo era comparar o rendemento, anote os algoritmos e a carga de traballo. Pasar a CBC non é unha medida de que o cifrado estea ausente.

Comprobe que negociou realmente a conexión

Estableza unha conexión nova e lea a liña da canle de datos no rexistro, que nomea o cifrado en uso. O conxunto da canle de control decídese por separado, así que a lista permitida do ficheiro só mostra o que se ofreceu. Cando os dous pares escolleron algo que non esperaba, as listas son o lugar onde mirar, non a interface do túnel. Confirme o resultado nunha segunda conexión tras calquera cambio, porque un reinicio pode reutilizar unha sesión na caché.

Garde o resultado negociado no rexistro de despregamento xunto á versión do perfil. Ese é o feito que responde á seguinte pregunta sobre que cifrado protexe realmente o tráfico.