Tunnelblick data-ciphers が認識されない：どのエンジンが動いていたのか

Tunnelblick が認識できない data-ciphers オプションを報告し、同じ息で OpenVPN 2.4 に触れ、接続は決して始まりません。これは暗号をめぐる不一致ではなくローカルな解析失敗です。エンジンがゲートウェイとの交渉が始まる前にプロファイルを拒否したからです。サーバーの暗号ポリシーについての一般的な助言はここでは役に立ちません。まずパーサーがファイルを理解する必要があります。この設定が実際に起動したエンジンを見つければ、残りは自ずとついてきます。

プロファイルに触る前にログの行を読む

失敗した接続を Tunnelblick の詳細ウィンドウで開き、ログを上から読みます。最初の行にはエンジンのバージョンとそれに渡されるプロファイルが示され、続いて解析を止めたオプションが示されます。それ以降はすべてノイズです。プロセスが終了しているからです。

そのログから三つの事実を記録します。エンジンのバージョン、設定名、正確なメッセージです。この三つが診断のすべてです。修正にインストール済みアプリケーションの変更が必要だと分かった場合にも、これらが必要になります。行は言い換えずにスクリーンショットを撮ってください。記憶から繰り返すとオプション名を打ち間違えやすいからです。

その設定がどのエンジンを実行しているかを確認する

Tunnelblick は OpenVPN エンジンを包んだアプリケーションであり、設定ごとに異なるエンジンを実行できます。アプリケーションのバージョンを読むのではなく、詳細ウィンドウでこの設定に選ばれたバージョンを確認し、その設定が決して使わないターミナルの openvpn バイナリの出力で置き換えないでください。Tunnelblick の OpenVPN バージョンのガイド が、その選択の仕組みと選択の保存場所を説明しています。

この区別が重要なのは、マシンの PATH に新しいバイナリがあり、失敗した接続の背後に同梱の 2.4 エンジンがあることがあるからです。プロファイルを評価するのは後者です。

openvpn --version
ls /Applications/Tunnelblick.app/Contents/Resources/openvpn/

この二つのコマンドは、ターミナルが何を実行するかと、インストール済みアプリケーションがどのエンジンディレクトリを持つかを示します。どちらも失敗した設定が何を使ったかの証明にはなりません。ログがすでにそれを伝えているうえ、パスは Tunnelblick のリリースによって異なるからです。

ディレクティブ名が変わった理由

OpenVPN は 2.5 で data-ciphers を交渉用リストとして導入し、そのリリースで非推奨になった以前の ncp-ciphers という表記を置き換えました。2.4 エンジンにはそのオプションがないため、知らない最初のトークンで停止します。単一の cipher オプションもリストの古い別名ではありません。交渉用の集合ではなく、一つの暗号を指定します。

そのため、バージョン間でテキストを置換すると、解析は通るものの予期しない動作をするプロファイルが生まれ、フォーラム投稿の断片をコピーすることがバージョン確認にならないのです。オプション名はフォールバック処理や既定値とともに移り、一つのディレクティブの名前を変えて組み立てたファイルは、そのエンジン向けに書かれたファイルと同等ではありません。

症状ではなく、エンジンかプロファイルを直す

サポートされた配備では、運用者のプロファイルを受け入れるサポート済みの Tunnelblick とエンジンの組み合わせが恒久的な修復であり、アプリケーションのインストールを所有する人を通じて手配します。古いインストールをしばらく残さなければならない場合は、そのエンジン向けで、ゲートウェイが実際に受け入れる暗号向けに書かれたプロファイルを依頼してください。

data-ciphers と data-ciphers-fallback を削除すれば、この特定の解析エラーは確かに消えます。だからこそ魅力的なのです。同時に、編集するつもりのなかったセキュリティ設定の中で、どの暗号が交渉されるかを静かに変えてしまいます。元のプロファイルを残し、代わりにサポートされた設定を意図的に比較してください。

再試行し、次の段階を読む

修正後は、成功したと決めつけずに接続を再試行し、新しいログを最初から読んでください。今は解析できるプロファイルでも、暗号の交渉、証明書の検証、認証、ルーティングで止まることがあり、それぞれの失敗には独自の証拠があります。

交渉が失敗した場合は、両側が対応する暗号と、それぞれが許可されている暗号を比較してください。認証が失敗した場合は、プロファイルとエンジンがゲートウェイに到達するまで機能したということであり、記録する価値のある前進です。その連鎖を最初の静かなログで止めることが、誤った理由でセキュリティ設定が削除される道です。