OpenVPN ამბობს, რომ ncp-disable უცნობია: რამ შეცვალა ის?

კლიენტი უარს ამბობს გაშვებაზე პარამეტრების შეცდომით, რომელიც ახსენებს ncp-disable-ს, თუმცა პროფილი წინა მანქანაზე მუშაობდა. ეს შეტყობინება არ ნიშნავს, რომ პარამეტრი არასწორად არის დაწერილი ან დაშიფვრა გატეხილია. ის ნიშნავს, რომ თქვენს წინ არსებულმა ბინარმა საერთოდ არ იცის ეს ინსტრუქცია, და ამის ორი ძალიან განსხვავებული მიზეზი არსებობს. რომელი ვრცელდება, განსაზღვრავს, შეასწორებთ პროფილს თუ შეცვლით კლიენტს.

შეცდომა შეიძლება უფრო ახალი ბინარიდან მოვიდეს

უცნობი პარამეტრის შეცდომა პარსერს ეხება და არა გვირაბს. OpenVPN 2.4-მა დაამატა მოლაპარაკებადი შიფრის პარამეტრები, 2.5-მა მათი გამომრთველი გადამრთველი მოძველებულად გამოაცხადა, ხოლო 2.6-მა ის სრულად წაშალა. ამიტომ 2.3-ის ან 2.4-ისთვის დაწერილი პროფილი მარცხდება მიმდინარე კლიენტზე, მაშინაც კი, როცა ფაილში არაფერი შეცვლილა. ვერსია, რომელიც ჩივის, უფრო ახალია და არა უფრო ძველი.

სანამ რამეს შეასწორებთ, დაადგინეთ, რომელმა შესრულებადმა ფაილმა შექმნა შეტყობინება. სამაგიდო კლიენტი თავის ძრავას მოაქვს, ხოლო ცალკე დაყენებულ სამმართველო ხაზის ბინარს თავისი ვერსია აქვს. ორივენი შეიძლება არ ემთხვეოდნენ ერთ მანქანაზე.

openvpn --version ამას თქვენი სატესტო ბინარისთვის წყვეტს. GUI კლიენტმა შეიძლება არ აჩვენოს ეს ბრძანება, ამ შემთხვევაში წაიკითხეთ მისი „შესახებ“ ეკრანი ან ჩაშენებული ბიბლიოთეკის ვერსია.

რას მართავდა პარამეტრი სინამდვილეში

ინსტრუქცია თიშავდა კრიპტოგრაფიული პარამეტრების მოლაპარაკებას, ამიტომ ორივე მხარე უბრუნდებოდა cipher პარამეტრით მართულ ძველ არჩევანის ქცევას. მან არასოდეს გამორთო დაშიფვრა და არასოდეს აქცია გვირაბი ღია ტექსტად. მისი უსაფრთხოების გადამრთველად წაკითხვა პირველი არასწორი მოსახვევია და იწვევს ცვლილებებს, რომლებიც კავშირს უფრო ცუდს ხდის და არა უკეთესს.

როცა მოლაპარაკება არსებობს, ეკვივალენტური კითხვაა, რომელი შიფრების გამოყენებას არის მზად თითოეული მხარე. ეს პოლიტიკის კითხვაა და პოლიტიკა ცხოვრობს data-ciphers-ში 2.5-დან.

უფრო ძველი სახელი ncp-ciphers 2.4-ს ეკუთვნის. ორი სახელის მხარეებს შორის შერევა ცალმხრივი მოლაპარაკების წარუმატებლობის ხშირი წყაროა. პროფილი, რომელიც ორივეს შეიცავს, პროფილია, რომელიც ორმა ადამიანმა სხვადასხვა დროს შეცვალა.

შეცვალე პოლიტიკა და არა მართლწერა

დააყენეთ data-ciphers ორივე მხარეს განზრახული საერთო არჩევანით და შეინახეთ სია საკმარისად მოკლე, რომ რეცენზენტმა შეძლოს მასზე მსჯელობა. ერთი თვითნებური ხაზის შეცვლა არაფერს ამტკიცებს; შედეგი დამოკიდებულია ორივე სიის კვეთაზე და იმაზე, თუ რას უჭერს მხარს TLS დასტა. დაადასტურეთ მხარეთა შეთანხმება მოლაპარაკებული შედეგის წაკითხვით და არა კონფიგურაციისა. შემდეგ ჩაწერეთ ორივე სია განლაგების ჩანაწერში, რათა შემდეგი ცვლილება ცნობილი მდგომარეობიდან დაიწყოს.

განაახლეთ პროფილი მისი მფლობელის მეშვეობით. მოძველებული ინსტრუქციის დასამალად იგნორირების პარამეტრის დამატება პოლიტიკის კითხვას უპასუხოდ ტოვებს.

თუ უფრო ძველ მხარეს ნამდვილად სჭირდება თავსებადობის დამუშავება, შეზღუდეთ ის ამ განლაგებით. მოძველებული ქცევის გლობალურად აღდგენა თანამედროვე მხარეების დაკავშირების წინაპირობა არ არის. გამონაკლისმა უნდა დაასახელოს მხარე, რომლისთვისაც ის არსებობს.

ორი სტრიქონი, რომლებიც შიფრების სიას ჰგავს, მაგრამ არ არის

ორი შიფრის სტრიქონის დაწყობა მოლაპარაკებას არ აღადგენს, და შედეგი პროფილია, რომელიც სიას ჰგავს, მაგრამ ერთი მნიშვნელობისნაირად იქცევა. ერთ სტრიქონში AES-256-CBC, ხოლო შემდეგში CBC — ეს გავრცელებული მცდელობაა. CBC თავისთავად რეჟიმს ასახელებს და არა ალგორითმს, ამიტომ პარსერმა შეიძლება ის ერთ ადგილას მიიღოს და შემდეგში უარყოს. განმეორებული cipher ინსტრუქციები ერთსა და იმავე პარამეტრს ორჯერ აყენებს კანდიდატების დაგროვების ნაცვლად.

შეამოწმეთ მისაღები სახელები openvpn --show-ciphers-ით სამიზნე ბინარზე, ნაცვლად იმისა, რომ სია სხვა ტოტისთვის დაწერილი სახელმძღვანელოდან დააკოპიროთ. სია გამოშვებებს შორის იცვლება. ერთ ტოტში მოქმედი სახელი სავალდებულოდ არ არის მოქმედი მეორეში.

თუ მიზანი წარმადობის შედარება იყო, ჩაწერეთ ალგორითმები და დატვირთვა. CBC-ზე გადასვლა დაშიფვრის არარსებობის გაზომვა არ არის.

შეამოწმეთ, რაზეც კავშირმა რეალურად იმოლაპარაკა

აწიეთ ახალი კავშირი და წაიკითხეთ ჟურნალში მონაცემთა არხის სტრიქონი, რომელიც ასახელებს გამოყენებულ შიფრს. საკონტროლო არხის ნაკრები ცალკე განისაზღვრება, ამიტომ ფაილში დაშვებული სია მხოლოდ იმას აჩვენებს, რაც შესთავაზეს. როცა ორმა მხარემ აირჩია ის, რასაც არ ელოდით, საძებარი სიებია და არა გვირაბის ინტერფეისი. ნებისმიერი ცვლილების შემდეგ დაადასტურეთ შედეგი მეორე კავშირზე, რადგან ერთმა გადატვირთვამ შეიძლება ქეშირებული სესია ხელახლა გამოიყენოს.

შეინახეთ მოლაპარაკებული შედეგი განლაგების ჩანაწერში პროფილის ვერსიის გვერდით. სწორედ ეს ფაქტი პასუხობს შემდეგ კითხვას იმაზე, თუ რომელი შიფრი იცავს რეალურად ტრაფიკს.