Tunnelblick data-ciphers tidak dikenal: mesin mana yang berjalan?

Tunnelblick melaporkan opsi data-ciphers yang tidak dikenal, menyebut OpenVPN 2.4 dalam napas yang sama, dan koneksi tidak pernah dimulai. Ini kegagalan penguraian lokal, bukan perselisihan cipher, karena mesin menolak profil sebelum ada negosiasi apa pun dengan gateway. Saran biasa tentang kebijakan cipher server tidak dapat membantu di sini; pengurai harus lebih dulu memahami berkasnya. Temukan mesin yang benar-benar dijalankan konfigurasi ini, dan sisanya akan mengikuti.

Baca baris log sebelum menyentuh profil

Buka koneksi yang gagal di jendela detail Tunnelblick dan baca log dari atas. Baris-baris pertama menyebut versi mesin dan profil yang diserahkan kepadanya, diikuti opsi yang menghentikan penguraian. Semua setelah titik itu adalah derau, karena prosesnya sudah keluar.

Catat tiga fakta dari log itu: versi mesin, nama konfigurasi, dan pesan persisnya. Ketiganya adalah seluruh diagnosis. Ketiganya juga yang Anda perlukan jika ternyata perbaikannya menuntut perubahan aplikasi terpasang. Ambil tangkapan layar baris-baris itu alih-alih memparafrasenya, karena nama opsi mudah salah ketik saat diulang dari ingatan.

Pastikan mesin mana yang dijalankan konfigurasi itu

Tunnelblick adalah aplikasi yang membungkus mesin OpenVPN, dan konfigurasi berbeda dapat menjalankan mesin berbeda. Periksa versi yang dipilih untuk konfigurasi ini di jendela detail alih-alih membaca versi aplikasi, dan jangan menggantinya dengan keluaran biner openvpn terminal yang tidak pernah dipakai konfigurasi itu. Panduan versi OpenVPN Tunnelblick menjelaskan cara pemilihan itu bekerja dan di mana pilihannya disimpan.

Perbedaannya penting karena sebuah mesin dapat memiliki biner modern di PATH dan mesin 2.4 yang dibundel di balik koneksi yang gagal. Profil dievaluasi oleh yang kedua.

openvpn --version
ls /Applications/Tunnelblick.app/Contents/Resources/openvpn/

Kedua perintah itu menunjukkan apa yang akan dijalankan terminal dan direktori mesin mana yang dibawa aplikasi terpasang. Keduanya bukan bukti tentang apa yang dipakai konfigurasi yang gagal, karena log sudah memberitahunya, dan jalurnya berbeda antar rilis Tunnelblick.

Mengapa nama direktif berubah

OpenVPN memperkenalkan data-ciphers sebagai daftar negosiasi pada 2.5, menggantikan ejaan ncp-ciphers sebelumnya yang menjadi usang pada rilis itu. Mesin 2.4 tidak memiliki opsi semacam itu, jadi ia berhenti pada token pertama yang tidak dikenalnya. Opsi tunggal cipher juga bukan alias lama untuk daftar itu; ia menamai satu cipher, bukan satu set negosiasi.

Itulah sebabnya penggantian teks antar versi menghasilkan profil yang terurai lalu berperilaku tak terduga, dan sebabnya menyalin potongan dari kiriman forum bukan pemeriksaan versi. Nama opsi ikut berpindah bersama penanganan cadangan dan nilai bawaan, dan berkas yang dirakit dengan mengganti nama satu direktif tidak setara dengan berkas yang ditulis untuk mesin itu.

Perbaiki mesin atau profilnya, bukan gejalanya

Untuk penerapan yang didukung, perbaikan yang tahan lama adalah kombinasi Tunnelblick dan mesin yang didukung dan menerima profil operator, diatur melalui pihak yang memiliki pemasangan aplikasi. Jika pemasangan lama harus bertahan untuk sementara, mintalah profil yang ditulis untuk mesin itu dan untuk cipher yang benar-benar diterima gateway.

Menghapus data-ciphers dan data-ciphers-fallback memang membersihkan kesalahan penguraian khusus ini, dan itulah tepatnya alasan godaannya. Itu juga mengubah cipher mana yang dinegosiasikan, secara diam-diam, dalam konfigurasi keamanan yang tidak ingin Anda sunting. Simpan profil aslinya dan bandingkan pengaturan yang didukung secara sengaja.

Coba lagi dan baca tahap berikutnya

Setelah koreksi, coba lagi koneksinya dan baca log baru dari awal alih-alih menganggapnya berhasil. Profil yang sekarang terurai masih dapat berhenti pada negosiasi cipher, pada verifikasi sertifikat, pada autentikasi, atau pada perutean, dan setiap kegagalan itu punya buktinya sendiri.

Jika negosiasi gagal, bandingkan cipher yang didukung kedua pihak dengan yang diizinkan bagi masing-masing. Jika autentikasi gagal, profil dan mesin sekarang bekerja cukup baik sehingga telah mencapai gateway, yang merupakan kemajuan yang layak dicatat. Menghentikan rantai itu pada log senyap pertama adalah cara pengaturan keamanan dihapus karena alasan yang salah.