AES-256-GCM табылмады: клиент мүмкіндігі ме, әлде келіссөз бе?

Басқа жерде жұмыс істейтін OpenVPN профилі AES-256-GCM табылмағанын немесе тараптарда ортақ шифр жоқ екенін хабарлайды, ал бірінші ой профильді өңдеу болады. Бұл екі хабарлама түрлі ақауларды сипаттайды. Біреуі жергілікті бағдарламада ондай алгоритм жоқ дейді; екіншісі екі жақта алгоритмдер бар, бірақ ортақ таңдау жоқ дейді. Қайсысы сізде екенін білмейінше профильді өңдеу екеуін де түзетпейді.

Қатенің дәл мәтінін және оны шығарған бағдарламаны оқыңыз.

Қай қате екенін анықтаңыз

Табылмаған шифр туралы хабарлама жергілікті машинада кез келген пакет жіберілмей тұрып, опцияларды талдаудан келеді. Бұл алдыңыздағы орындалатын файл немесе ол байланысқан кітапхана сол алгоритмді ұсынбайды дегенді білдіреді. Ортақ шифр жоқтығы туралы хабарлама кейінірек, келіссөз кезінде келеді және екі жақ та шифрларды қолдайды, бірақ біреуіне келісе алмайды дегенді білдіреді.

Айырма маңызды, өйткені біреуі бағдарлама нұсқасының мәселесі, екіншісі конфигурация мәселесі. Біріншісін нұсқа нөмірі шешеді. Екіншісін екі тізімді салыстыру шешеді.

Жергілікті мүмкіндік тапшылығы

Ескі қауымдастық құрастырмалары заманауи әдепкі мәндерден бұрынғы, ал жұмыс үстелі қолданбасы қасында орнатылған пәрмен жолы пакетінен өзгеше өз қозғалтқышын әкелуі мүмкін. Тексерулерді қосылымды шынымен бастаған орындалатын файлда жүргізіңіз, содан кейін ескі бағдарламаға жаңа алгоритм үйретудің орнына қолдау көрсетілген құрастырманы таңдаңыз.

openvpn --version
openvpn --show-ciphers | grep -i gcm
openvpn --show-tls | head -5

Егер AES-256-GCM сол тізімде болмаса, ешбір профиль жолы оны қоспайды. Шешім неғұрлым жаңа клиент немесе басқа құрастырма, ал ескірек тараптың шектеулері жеке дизайн мәселесіне айналады.

OpenVPN 3 негізіндегі клиенттерде қозғалтқыш пен қабылданатын директивалар қауымдастықтың 2.x желісінен өзгеше, сондықтан сол профиль мәтіні шифрлар тізімімен еш байланысы жоқ себептерден сәтсіз болуы мүмкін.

Келіссөз тапшылығы

Екі тарап та алгоритмді тізімдегенде, қалатын сұрақ әр тарап қандай тізім ұсынады дегенде. Қауымдастық OpenVPN келіссөз директивасының атын өзгертті: 2.4-тегі ncp-ciphers 2.5-те data-ciphers болды, ал 2.6-да ескі cipher жолы негізінен үйлесімділік пен кері шегінуге қызмет етеді, келісілген жиынтықты анықтауға емес.

Сондықтан тек ескі cipher жолын өзгерту келіссөз тізімін тиіспеген күйде қалдыруы мүмкін. Ескі жол кері шегіну үшін әлі маңызды, ал бұл бөлек жұмыс. Екеуін шатастыру көрінетін ештеңені өзгертпейтін өңдеулерге әкеледі.

openvpn --version | head -2
grep -n -E '^(data-ciphers|ncp-ciphers|cipher|tls-cipher)' server.conf client.ovpn

Екі ұштың тізімдерін және сервердің бас тарту хабарламасын салыстырыңыз. Егер қиылысу бос болса, тізімдерді әдейі теңестіріңіз, басқа нұсқа үшін жазылған мақаладан мән көшірмеңіз. Тым кең тізім әр қосылымды байқатпай әлсіретеді. Тым тар тізім сақтағыңыз келген тарапты шығарып тастайды.

Үйлесімділікті ашық ұстаңыз

Бір ескі тарап үшін кері шегіну құны бар шешім: бір құрылғы қосылуы үшін бүкіл орналастыру әлсізрек нұсқаны қабылдайды. Оны солай жазып, оған мұқтаж тараппен шектеңіз.

Нәтижені екі шарт шешеді. Егер қате жергілікті болса, құрастырманы ауыстырыңыз. Егер қате келіссөздікі болса, екі ұшта тізімдерді теңестіріп, қай нұсқаларды қолдайтыныңызды жазыңыз.

Содан кейін нұсқа мен мүмкіндік шығысын тіркей отырып, дәл қатені хабарлаңыз. Бұл жұп жоқ алгоритмді келіспеушіліктен ажыратады және болжамды өңдеулердің келесі кезеңін басталмай тұрып тоқтатады.