OpenVPN ncp-disable белгісіз дейді: оны немен алмастырды?

Клиент ncp-disable аталатын опция қатесімен іске қосылудан бас тартып отыр, ал профиль алдыңғы машинада жұмыс істеген. Бұл хабарлама опцияның қате жазылғанын немесе шифрлаудың бұзылғанын білдірмейді. Ол сіздің алдыңыздағы бинар бұл нұсқауды мүлде білмейтінін білдіреді, және оның екі түрлі себебі бар. Қайсысы қолданылатыны профильді өңдеу немесе клиентті ауыстыру керектігін анықтайды.

Қате жаңарақ бинардан да келуі мүмкін

Танылмаған опция қатесі туннельге емес, талдағышқа қатысты. OpenVPN 2.4 келісілетін шифр параметрлерін қосты, 2.5 оларды өшіретін ажыратқышты ескірген деп жариялады, ал 2.6 оны толығымен жойды. Сондықтан 2.3 немесе 2.4 үшін жазылған профиль файлда ештеңе өзгермесе де ағымдағы клиентте сәтсіз аяқталады. Шағымданып отырған нұсқа ескі емес, жаңарақ.

Бірдеңені өңдеуден бұрын хабарламаны қай орындалатын файл шығарғанын анықтаңыз. Жұмыс үстелі клиенті өз қозғалтқышын әкеледі, ал бөлек орнатылған пәрмен жолы бинарының өз нұсқасы бар. Екеуі бір машинада сәйкес келмеуі мүмкін.

openvpn --version мұны сіз сынап отырған бинар үшін шешеді. GUI клиент бұл пәрменді көрсетпеуі мүмкін, онда оның «туралы» экранын немесе жинақталған кітапхана нұсқасын оқыңыз.

Опция шын мәнінде нені басқарды

Нұсқау криптографиялық параметрлер келісімін өшірген, сондықтан екі жақ та cipher параметрі басқаратын ескі таңдау тәртібіне қайта оралған. Ол ешқашан шифрлауды өшірмеген және туннельді ашық мәтінге айналдырмаған. Оны қауіпсіздік ажыратқышы ретінде оқу — алғашқы қате бұрылыс, және ол байланысты жақсартудың орнына нашарлататын өзгерістерге әкеледі.

Келісім болған кезде баламалы сұрақ — әр жақ қандай шифрларды пайдалануға дайын. Бұл саясат мәселесі, ал саясат 2.5-тен бастап data-ciphers ішінде тұрады.

Ескірек ncp-ciphers атауы 2.4-ке тиесілі. Екі атауды жақтар арасында араластыру бір бағытты келісім сәтсіздіктерінің жиі көзі. Екеуін де алып жүретін профиль — екі адам әртүрлі уақытта өңдеген профиль.

Саясатты ауыстырыңыз, емлені емес

Екі жақта да data-ciphers параметрін көзделген ортақ таңдаумен орнатыңыз және тізімді шолушы ой жүгірте алатындай қысқа ұстаңыз. Кездейсоқ бір жолды өзгерту ештеңені дәлелдемейді; нәтиже екі тізімнің қиылысуына және TLS стекінің неге қолдау көрсететініне байланысты. Жақтардың келісімін конфигурацияны емес, келісілген нәтижені оқу арқылы растаңыз. Содан кейін екі тізімді орналастыру жазбасына жазыңыз, келесі өзгеріс белгілі күйден басталсын.

Профильді оның иесі арқылы жаңартыңыз. Ескірген нұсқауды жасыру үшін елемеу опциясын қосу саясат сұрағын жауапсыз қалдырады.

Егер ескірек жақ шынымен үйлесімділік өңдеуін қажет етсе, оны сол орналастырумен шектеңіз. Ескірген тәртіпті жаһандық қалпына келтіру заманауи жақтарды қосудың алғышарты емес. Ерекшелік ол үшін бар жақты атауы керек.

Шифрлар тізіміне ұқсайтын, бірақ олай болмайтын екі жол

Екі шифр жолын қабаттау келісімді де қалпына келтірмейді, ал нәтиже тізімге ұқсайтын, бірақ бір мән сияқты әрекет ететін профиль. Бір жолда AES-256-CBC, келесісінде CBC жазу — жиі кездесетін әрекет. CBC өздігінен алгоритмді емес, режимді атайды, сондықтан талдағыш оны бір ұяшықта қабылдап, келесісінде қабылдамауы мүмкін. Қайталанған cipher нұсқаулары кандидаттарды жинаудың орнына бір опцияны екі рет орнатады.

Қабылданатын атауларды басқа тармақ үшін жазылған нұсқаулықтан тізімді көшірудің орнына мақсатты бинарда openvpn --show-ciphers арқылы тексеріңіз. Тізім шығарылымдар арасында өзгереді. Бір тармақта жарамды атау екіншісінде міндетті түрде жарамды емес.

Егер мақсат өнімділікті салыстыру болса, алгоритмдер мен жүктемені жазып алыңыз. CBC-ге көшу шифрлаудың жоқтығын өлшеу емес.

Қосылымның шынымен не туралы келіскенін тексеріңіз

Жаңа қосылым көтеріп, журналдағы деректер арнасының жолын оқыңыз, ол пайдаланылып жатқан шифрды атайды. Бақылау арнасының жиынтығы бөлек шешіледі, сондықтан файлдағы рұқсат етілген тізім тек ұсынылғанын көрсетеді. Екі жақ күтпеген нәрсені таңдағанда, қарайтын жер — туннель интерфейсі емес, тізімдер. Кез келген өзгерістен кейін нәтижені екінші қосылымда растаңыз, өйткені бір қайта іске қосу кэштелген сессияны қайта пайдалануы мүмкін.

Келісілген нәтижені профиль нұсқасының жанында орналастыру жазбасында сақтаңыз. Трафикті шын мәнінде қай шифр қорғап жатқаны туралы келесі сұраққа осы факт жауап береді.