AES-256-GCM fannst ekki: geta biðlarans eða samningaviðræður?

OpenVPN-snið sem virkar annars staðar tilkynnir að AES-256-GCM finnist ekki, eða að jafningjarnir deili engri dulritun, og fyrsta eðlishvötin er að breyta sniðinu. Þessi tvö skilaboð lýsa mismunandi bilunum. Annað segir að staðbundna forritið hafi ekki slíkan algrím; hitt segir að báðir endar hafi algrím en enga sameiginlega val. Að breyta sniðinu lagar hvorki annað né hitt fyrr en þú veist hvort þú hefur.

Lestu nákvæman villutexta og forritið sem framleiddi hann.

Ákvarðaðu hvaða villu þú hefur

Skilaboðin um dulritun sem finnst ekki koma frá greiningu valkosta á staðbundnu vélinni, áður en nokkur pakki er sendur. Það þýðir að keyrsluskráin fyrir framan þig, eða bókasafnið sem hún tengist, býður ekki það algrím. Skilaboðin um enga sameiginlega dulritun koma síðar, meðan samningaviðræðurnar standa, og þýða að báðir aðilar styðja dulritun en ná ekki samkomulagi um eina.

Greinin skiptir máli því önnur er vandamál hugbúnaðarútgáfu og hin stillingavandamál. Þá fyrri leysir útgáfunúmer. Þá seinni leysir samanburður á tveimur listum.

Staðbundið getubil

Gamlar samfélagssmíðar eru eldri en nútímastillingar, og skjáborðsforrit getur haft eigin vél sem er frábrugðin skipanalínupakkanum sem er uppsettur við hliðina. Keyrðu prófin á þeirri keyrsluskrá sem raunverulega hóf tenginguna, og veldu síðan studda smíð í stað þess að kenna gömlu forriti nýtt algrím.

openvpn --version
openvpn --show-ciphers | grep -i gcm
openvpn --show-tls | head -5

Ef AES-256-GCM birtist ekki á þeim lista bætir engin sniðslína því við. Lausnin er nýrri biðlari eða önnur smíð, og takmarkanir eldri aðilans verða sérstök hönnunarspurning.

Hjá biðlurum sem byggja á OpenVPN 3 eru vélin og samþykktu tilskipanirnar frábrugðnar samfélagslínunni 2.x, svo sami sniðstextinn getur mistekist af ástæðum sem tengjast dulritunarlistanum ekki við neitt.

Bil í samningaviðræðum

Þegar báðir jafningjar telja upp algrímið er spurningin hvaða lista hvor hlið býður. Samfélags-OpenVPN endurnefndi samningatilskipunina: ncp-ciphers í 2.4 varð data-ciphers í 2.5, og í 2.6 þjónar eldri cipher-línan aðallega samhæfni og afturhvarfi frekar en að skilgreina samninginn.

Þess vegna getur breyting á aðeins gamalli cipher-línu látið samningalistann ósnortinn. Gamla línan skiptir enn máli fyrir afturhvarf, og það er sérstakt verk. Að rugla þessu tvennu framleiðir breytingar sem breyta engu sýnilegu.

openvpn --version | head -2
grep -n -E '^(data-ciphers|ncp-ciphers|cipher|tls-cipher)' server.conf client.ovpn

Berðu saman lista beggja enda og höfnunarskilaboð netþjónsins. Ef skurðurinn er tómur skaltu stilla listana af ásettu ráði í stað þess að afrita gildi úr grein sem skrifuð var fyrir aðra útgáfu. Of ríflegur listi veikir hljóðlega hverja tengingu. Of þröngur listi útilokar jafningjann sem þú vildir halda.

Hafðu samhæfni skýra

Afturhvarf fyrir einn gamlan jafningja er ákvörðun með kostnaði: öll uppsetningin samþykkir veikari valkost svo eitt tæki geti tengst. Skrifaðu það sem slíkt og takmarkaðu við jafningjann sem þarf á því að halda.

Tvö skilyrði ráða úrslitum. Ef villan er staðbundin skaltu skipta um smíð. Ef villan er í samningaviðræðum skaltu stilla listana af á báðum endum og skrá hvaða útgáfur þú styður.

Tilkynntu síðan nákvæmu villuna með útgáfu- og getuúttaki meðfylgjandi. Þetta par aðgreinir algrím sem vantar frá ágreiningi og stöðvar næstu umferð ímyndaðra breytinga áður en hún byrjar.