OpenVPN menyebut ncp-disable tidak dikenal: apa penggantinya?

Klien menolak mulai dengan galat opsi yang menyebut ncp-disable, padahal profil itu bekerja di mesin sebelumnya. Pesan tersebut tidak berarti opsi salah eja atau enkripsi rusak. Artinya, biner di depan Anda sama sekali tidak mengenal direktif itu, dan ada dua alasan yang sangat berbeda untuk itu. Alasan mana yang berlaku menentukan apakah Anda menyunting profil atau mengganti klien.

Galat bisa datang dari biner yang lebih baru

Galat opsi tak dikenal berkaitan dengan parser, bukan terowongan. OpenVPN 2.4 menambahkan parameter cipher yang dapat dinegosiasikan, 2.5 menyatakan usang sakelar yang mematikannya, dan 2.6 menghapusnya sepenuhnya. Karena itu profil yang ditulis untuk 2.3 atau 2.4 gagal pada klien saat ini meskipun tidak ada yang berubah di berkas. Versi yang mengeluh lebih baru, bukan lebih lama.

Cari tahu biner mana yang menghasilkan pesan itu sebelum menyunting apa pun. Klien desktop membawa mesinnya sendiri, sedangkan biner baris perintah yang dipasang terpisah punya versinya sendiri. Keduanya bisa tidak sepakat di mesin yang sama.

openvpn --version menyelesaikannya untuk biner yang Anda uji. Klien GUI mungkin tidak menampilkan perintah itu; dalam hal ini bacalah layar tentangnya atau versi pustaka yang dibundel.

Apa yang sebenarnya dikendalikan opsi itu

Direktif itu mematikan negosiasi parameter kriptografis, sehingga kedua ujung kembali ke perilaku pemilihan lama yang dikendalikan oleh setelan cipher. Itu tidak pernah mematikan enkripsi dan tidak pernah mengubah terowongan menjadi teks biasa. Membacanya sebagai sakelar keamanan adalah kesalahan arah pertama, dan itu mengarah pada perubahan yang membuat koneksi lebih buruk, bukan lebih baik.

Setelah negosiasi ada, pertanyaan yang setara adalah cipher mana yang bersedia digunakan tiap pihak. Itu pertanyaan kebijakan, dan kebijakan berada di data-ciphers pada 2.5 dan sesudahnya.

Nama lama ncp-ciphers milik 2.4. Mencampur kedua nama antarpihak adalah sumber umum kegagalan negosiasi satu arah. Profil yang memuat keduanya adalah profil yang disunting dua orang pada waktu berbeda.

Ganti kebijakannya, bukan ejaannya

Tetapkan data-ciphers di kedua peer dengan pilihan bersama yang dimaksudkan, dan jaga daftarnya cukup pendek agar peninjau dapat menalar tentangnya. Mengubah satu baris sembarang tidak membuktikan apa pun; hasilnya bergantung pada irisan kedua daftar dan pada apa yang didukung tumpukan TLS. Pastikan kedua peer sepakat dengan membaca hasil negosiasi, bukan konfigurasi. Lalu tuliskan kedua daftar ke catatan penerapan agar perubahan berikutnya mulai dari keadaan yang diketahui.

Perbarui profil melalui pemiliknya. Menambahkan opsi abaikan untuk menyembunyikan direktif usang membiarkan pertanyaan kebijakan tak terjawab.

Jika peer lama benar-benar memerlukan penanganan kompatibilitas, batasi pada penerapan itu. Memulihkan perilaku usang secara global bukan prasyarat untuk menghubungkan peer modern. Pengecualian itu harus menyebut peer yang menjadi tujuannya.

Dua baris yang tampak seperti daftar cipher tetapi bukan

Menumpuk dua baris cipher juga tidak memulihkan negosiasi, dan hasilnya adalah profil yang tampak seperti daftar tetapi berperilaku seperti satu nilai. Satu baris menyebut AES-256-CBC dan baris berikutnya menyebut CBC adalah upaya yang umum. CBC sendiri menyebut mode, bukan algoritme, jadi parser dapat menerimanya di satu tempat dan menolaknya di tempat berikutnya. Direktif cipher yang berulang menetapkan opsi yang sama dua kali alih-alih mengumpulkan kandidat.

Periksa nama yang diterima dengan openvpn --show-ciphers pada biner target alih-alih menyalin daftar dari panduan yang ditulis untuk cabang lain. Daftar berubah antarrilis. Nama yang sah di satu cabang belum tentu sah di cabang lain.

Jika tujuannya perbandingan kinerja, catat algoritme dan beban kerjanya. Beralih ke CBC bukan pengukuran bahwa enkripsi tidak ada.

Periksa apa yang sebenarnya dinegosiasikan koneksi

Buka koneksi baru dan baca baris kanal data di log, yang menyebut cipher yang dipakai. Rangkaian kanal kontrol ditentukan terpisah, jadi daftar yang diizinkan dalam berkas hanya menunjukkan apa yang ditawarkan. Ketika kedua peer memilih sesuatu yang tidak Anda duga, daftarlah tempat mencarinya, bukan antarmuka terowongan. Pastikan hasilnya pada koneksi kedua setelah setiap perubahan, karena satu mulai ulang dapat memakai kembali sesi yang di-cache.

Simpan hasil negosiasi di catatan penerapan di samping versi profil. Itulah fakta yang menjawab pertanyaan berikutnya tentang cipher mana yang benar-benar melindungi lalu lintas.