AES-256-GCM nem található: kliens-képesség vagy egyeztetés?

Egy máshol működő OpenVPN-profil azt jelzi, hogy az AES-256-GCM nem található, vagy hogy a partnereknek nincs közös titkosításuk, és az első ösztön a profil szerkesztése. Ez a két üzenet különböző hibákat ír le. Az egyik szerint a helyi programban nincs ilyen algoritmus; a másik szerint mindkét oldalon vannak algoritmusok, de nincs közös választás. A profil szerkesztése egyiket sem oldja meg, amíg nem tudja, melyik van Önnél.

Olvassa el a hiba pontos szövegét és azt a programot, amely előállította.

Határozza meg, melyik hibája van

A nem található titkosításról szóló üzenet a helyi gépen futó opcióelemzésből származik, még azelőtt, hogy bármilyen csomag elküldésre kerülne. Ez azt jelenti, hogy az Ön előtti futtatható fájl vagy a hozzá kapcsolt könyvtár nem kínálja ezt az algoritmust. A közös titkosítás hiányáról szóló üzenet később, az egyeztetés során érkezik, és azt jelenti, hogy mindkét fél támogat titkosításokat, de nem tudnak megegyezni egyben.

A megkülönböztetés azért számít, mert az egyik szoftververzió-probléma, a másik konfigurációs probléma. Az elsőt egy verziószám dönti el. A másodikat két lista összehasonlítása dönti el.

Helyi képességhiány

A régi közösségi buildek korábbiak a modern alapértékeknél, és egy asztali alkalmazás saját motort hozhat magával, amely eltér a mellette telepített parancssori csomagtól. A vizsgálatokat azon a futtatható fájlon végezze, amely valóban elindította a kapcsolatot, majd válasszon támogatott buildet ahelyett, hogy új algoritmusra tanítana egy régi programot.

openvpn --version
openvpn --show-ciphers | grep -i gcm
openvpn --show-tls | head -5

Ha az AES-256-GCM nem szerepel abban a listában, egyetlen profilsor sem teszi hozzá. A megoldás egy újabb kliens vagy másik build, és a régebbi fél korlátai külön tervezési kérdéssé válnak.

Az OpenVPN 3 alapú klienseknél a motor és az elfogadott direktívák eltérnek a közösségi 2.x vonaltól, ezért ugyanaz a profilszöveg olyan okokból is elbukhat, amelyeknek semmi közük a titkosításlistához.

Egyeztetési hiány

Amikor mindkét fél felsorolja az algoritmust, a kérdés az marad, melyik listát kínálja melyik oldal. A közösségi OpenVPN átnevezte az egyeztetési direktívát: a 2.4-es ncp-ciphers a 2.5-ben data-ciphers lett, a 2.6-ban pedig a régebbi cipher sor főleg a kompatibilitást és a visszaesést szolgálja, nem az egyeztetett készlet meghatározását.

Ezért egy régi cipher sor önmagában történő módosítása érintetlenül hagyhatja az egyeztetési listát. A régi sor a visszaeséshez továbbra is számít, és az külön feladat. A kettő összekeverése olyan módosításokat ad, amelyek semmit sem változtatnak láthatóan.

openvpn --version | head -2
grep -n -E '^(data-ciphers|ncp-ciphers|cipher|tls-cipher)' server.conf client.ovpn

Hasonlítsa össze a két végpont listáját és a szerver elutasítási üzenetét. Ha a metszet üres, tudatosan igazítsa össze a listákat, ahelyett hogy egy másik verzióhoz írt cikkből másolna értéket. A túl bő lista csendesen gyengíti minden kapcsolatot. A túl szűk lista kizárja azt a partnert, amelyet meg akart tartani.

Tartsa nyíltan a kompatibilitást

A visszaesés egy régi partner miatt áldozattal járó döntés: a teljes telepítés gyengébb lehetőséget fogad el, hogy egy eszköz csatlakozhasson. Írja le így, és korlátozza arra a partnerre, amelynek szüksége van rá.

Két feltétel dönti el az eredményt. Ha a hiba helyi, cserélje a buildet. Ha a hiba egyeztetési, igazítsa össze a listákat mindkét végponton, és jegyezze fel, mely verziókat támogatja.

Ezután jelentse a pontos hibát a verzió- és képességkimenet csatolásával. Ez a pár elválasztja a hiányzó algoritmust a nézeteltéréstől, és megállítja a következő spekulatív módosítási kört, mielőtt elkezdődne.