OpenVPN-ը հայտնում է, որ ncp-disable-ը անհայտ է. ինչո՞վ այն փոխարինվեց։

Հաճախորդը հրաժարվում է գործարկվել տարբերակների սխալով, որը հիշատակում է ncp-disable-ը, չնայած պրոֆիլը աշխատում էր նախորդ մեքենայում։ Այդ հաղորդագրությունը չի նշանակում, որ տարբերակը սխալ է գրված կամ որ գաղտնագրությունը կոտրված է։ Այն նշանակում է, որ ձեր առջևի բինարը ընդհանրապես չի ճանաչում այդ հրահանգը, և դրա համար երկու շատ տարբեր պատճառ կա։ Դրանցից որը գործում է, որոշում է՝ խմբագրեք պրոֆիլը, թե փոխեք հաճախորդը։

Սխալը կարող է գալ ավելի նոր բինարից

Չճանաչված տարբերակի սխալը վերաբերում է վերլուծիչին, ոչ թունելին։ OpenVPN 2.4-ը ավելացրեց բանակցվող գաղտնագրման պարամետրեր, 2.5-ը հայտարարեց դրանք անջատող անջատիչը հնացած, իսկ 2.6-ը հեռացրեց այն ամբողջությամբ։ Այդ պատճառով 2.3-ի կամ 2.4-ի համար գրված պրոֆիլը ձախողվում է ընթացիկ հաճախորդում, նույնիսկ եթե ֆայլում ոչինչ չի փոխվել։ Բողոքող տարբերակը նորն է, ոչ հինը։

Պարզեք, թե որ կատարվող ֆայլն է առաջացրել հաղորդագրությունը, նախքան որևէ բան խմբագրելը։ Սեղանադիր հաճախորդը բերում է իր շարժիչը, մինչդեռ առանձին տեղադրված հրամանի տողի բինարը ունի իր տարբերակը։ Երկուսը կարող են չհամընկնել նույն մեքենայում։

openvpn --version-ը լուծում է դա ձեր փորձարկվող բինարի համար։ Գրաֆիկական հաճախորդը կարող է չցուցադրել այդ հրամանը, այդ դեպքում կարդացեք նրա «մասին» էկրանը կամ ներառված գրադարանի տարբերակը։

Ինչն էր տարբերակը իրականում կառավարում

Հրահանգն անջատում էր գաղտնագրային պարամետրերի բանակցությունը, ուստի երկու ծայրերը վերադառնում էին cipher կարգավորումով ղեկավարվող ավելի հին ընտրության վարքագծին։ Այն երբեք չի անջատել գաղտնագրությունը և երբեք չի վերածել թունելը բաց տեքստի։ Այն որպես անվտանգության անջատիչ կարդալը առաջին սխալ շրջադարձն է, և այն տանում է փոփոխությունների, որոնք կապը դարձնում են ավելի վատ, ոչ թե ավելի լավ։

Երբ բանակցություն գոյություն ունի, համարժեք հարցն այն է, թե յուրաքանչյուր կողմ ինչ գաղտնագրեր է պատրաստ օգտագործել։ Սա քաղաքականության հարց է, և քաղաքականությունը ապրում է data-ciphers-ում 2.5-ից սկսած։

Ավելի հին ncp-ciphers անունը պատկանում է 2.4-ին։ Երկու անունները կողմերի միջև խառնելը միակողմանի բանակցային ձախողումների տարածված աղբյուր է։ Երկուսն էլ կրող պրոֆիլը պրոֆիլ է, որը երկու մարդիկ խմբագրել են տարբեր ժամանակներում։

Փոխարինեք քաղաքականությունը, ոչ ուղղագրությունը

Սահմանեք data-ciphers-ը երկու կողմերում նախատեսված ընդհանուր ընտրությամբ և ցանկը պահեք բավականաչափ կարճ, որպեսզի գրախոսը կարողանա դրա շուրջ մտածել։ Մեկ կամայական տող փոխելը ոչինչ չի ապացուցում. արդյունքը կախված է երկու ցանկերի հատումից և այն բանից, ինչ աջակցում է TLS կույտը։ Հաստատեք կողմերի համաձայնությունը՝ կարդալով բանակցված արդյունքը, ոչ թե կոնֆիգուրացիան։ Այնուհետև գրեք երկու ցանկերը տեղակայման գրառման մեջ, որպեսզի հաջորդ փոփոխությունը սկսվի հայտնի վիճակից։

Թարմացրեք պրոֆիլը դրա սեփականատիրոջ միջոցով։ Հնացած հրահանգը թաքցնելու համար անտեսման տարբերակ ավելացնելը թողնում է քաղաքականության հարցը անպատասխան։

Եթե ավելի հին կողմն իսկապես համատեղելիության մշակման կարիք ունի, սահմանափակեք այն այդ տեղակայմամբ։ Հնացած վարքագիծը համաշխարհային մակարդակով վերականգնելը ժամանակակից կողմերի միացման նախապայման չէ։ Բացառությունը պետք է անվանի այն կողմը, որի համար այն գոյություն ունի։

Երկու տող, որոնք նման են գաղտնագրերի ցանկի, բայց այդպիսին չեն

Երկու գաղտնագրային տողերի դասավորումը նույնպես չի վերականգնում բանակցությունը, և արդյունքը պրոֆիլ է, որը նման է ցանկի, բայց վարվում է որպես մեկ արժեք։ Մեկ տողում AES-256-CBC, հաջորդում CBC գրելը սովորական փորձ է։ CBC-ն ինքնին նշում է ռեժիմ, ոչ ալգորիթմ, ուստի վերլուծիչը կարող է այն ընդունել մի տեղում և մերժել հաջորդում։ Կրկնվող cipher հրահանգները նույն տարբերակը սահմանում են երկու անգամ՝ թեկնածուներ կուտակելու փոխարեն։

Ստուգեք ընդունված անունները openvpn --show-ciphers-ով թիրախ բինարի վրա, այլ ոչ թե պատճենեք ցանկը մեկ այլ ճյուղի համար գրված ուղեցույցից։ Ցանկը փոխվում է թողարկումների միջև։ Մի ճյուղում վավեր անունը պարտադիր չէ, որ վավեր լինի մյուսում։

Եթե նպատակը կատարողականության համեմատությունն էր, գրանցեք ալգորիթմներն ու ծանրաբեռնվածությունը։ CBC-ի անցնելը գաղտնագրության բացակայության չափում չէ։

Ստուգեք, թե ինչի շուրջ է իրականում բանակցել կապը

Բարձրացրեք նոր կապ և կարդացեք մատյանի տվյալների ալիքի տողը, որը նշում է օգտագործվող գաղտնագիրը։ Կառավարման ալիքի հավաքածուն որոշվում է առանձին, ուստի ֆայլում թույլատրված ցանկը ցույց է տալիս միայն այն, ինչ առաջարկվել է։ Երբ երկու կողմերն ընտրել են մի բան, որը չեք սպասել, ցանկերն են նայելու տեղը, ոչ թե թունելի ինտերֆեյսը։ Հաստատեք արդյունքը երկրորդ կապի վրա ցանկացած փոփոխությունից հետո, քանի որ մեկ վերագործարկումը կարող է կրկին օգտագործել քեշավորված սեսիան։

Պահեք բանակցված արդյունքը տեղակայման գրառման մեջ պրոֆիլի տարբերակի կողքին։ Հենց այս փաստն է պատասխանում հաջորդ հարցին, թե որ գաղտնագիրն է իսկապես պաշտպանում երթևեկությունը։