OpenVPN seet, datt ncp-disable onbekannt ass: wat huet et ersat?

De Client refuséiert ze starten mat engem Optiounsfeeler, deen ncp-disable nennt, obwuel de Profil op der viregter Maschinn gelaf ass. Dës Noriicht heescht net, datt d'Optioun falsch geschriwwe gëtt oder datt d'Verschlësselung futti ass. Si heescht, datt d'Binärdatei virun Iech d'Direktiv iwwerhaapt net kennt, an dofir gëtt et zwee ganz verschidden Ursaachen. Wien zoutrëfft entscheet, ob Dir de Profil ännert oder de Client wiesselt.

De Feeler kann aus enger méi neier Binärdatei kommen

E Feeler iwwer eng onbekannt Optioun geet ëm den Analysator, net ëm den Tunnel. OpenVPN 2.4 huet verhandelbar Cipher-Parameter bäigefüügt, 2.5 huet de Schalter, deen se ausgeschalt huet, als veraltert declaréiert, an 2.6 huet en komplett ewechgeholl. Dofir feelt e Profil, deen fir 2.3 oder 2.4 geschriwwe gouf, op engem aktuellen Client, och wann sech an der Datei näischt geännert huet. D'Versioun, déi sech beschwéiert, ass méi nei, net méi al.

Fannt eraus, wéi eng ausféierbar Datei d'Noriicht gemaach huet, ier Dir eppes ännert. En Desktop-Client bréngt seng eege Motor mat, wärend eng separat installéiert Binärdatei fir d'Kommandozeil seng eege Versioun huet. Déi zwou kënnen op der selwechter Maschinn ënnerschiddlech sinn.

openvpn --version kläert dat fir d'Binärdatei, déi Dir testt. En GUI-Client weist dee Kommando vläicht net; lies dann säin Iwwer-Écran oder d'Versioun vun der matgeliewerter Bibliothéik.

Wat d'Optioun tatsächlech gesteiert huet

D'Direktiv huet d'Verhandlung vu kryptografesche Parameter ausgeschalt, sou datt béid Enden op méi al Auswielverhalen zréckgefall sinn, dat vun der Astellung cipher gesteiert gouf. Si huet ni d'Verschlësselung ausgeschalt an den Tunnel ni a Klartext verwandelt. Si als Sécherheetsschalter ze liesen ass déi éischt falsch Kurve, an et féiert zu Ännerungen, déi d'Verbindung méi schlecht amplaz besser maachen.

Wann d'Verhandlung existéiert, ass d'gläichwäerteg Fro, wéi eng Cipheren all Säit bereet ass ze benotzen. Dat ass eng Politikfro, an d'Politik lieft an data-ciphers vun 2.5 un.

Den eeleren Numm ncp-ciphers gehéiert zu 2.4. Déi zwee Nimm tëscht de Säiten ze vermëschen ass eng heefeg Quell vun eenrichtungs-Verhandlungsfeeler. E Profil, deen déi zwou dréit, ass e Profil, deen zwou Persounen zu verschiddenen Zäiten geännert hunn.

Ersetzt d'Politik, net d'Schreifweis

Setzt data-ciphers op béide Säiten mat enger gewollter gemeinsam Auswiel, a haalt d'Lëscht kuerz genuch, datt en Iwwerpréifer se duerchdenke kann. Eng arbiträr Linn z'änneren beweist näischt; d'Resultat hänkt vun der Schnëttfläch vun deenen zwou Lëschten an dovun of, wat den TLS-Stack ënnerstëtzt. Bestätegt d'Elengkeet vun de Säiten, andeems Dir dat verhandelt Resultat liest an net d'Konfiguratioun. Schreift duerno déi zwou Lëschten an den Deployment-Record, sou datt déi nächst Ännerung vun engem bekannten Zoustand aus geet.

Aktualiséiert de Profil iwwer deen, deem en gehéiert. Eng Ignoréier-Optioun derbäizesetzen, fir eng veraltert Direktiv ze verstoppen, léisst d'Politikfro onbeäntwert.

Wann eng eeler Säit wierklech Kompatibilitéitsbehandlung brauch, begrenzt se op deen Deployment. Veraltert Verhalen global zréckzesetzen ass keng Viraussetzung, fir modern Säiten ze verbannen. D'Ausnam sollt d'Säit nennen, fir déi se existéiert.

Zwou Linnen, déi wéi eng Cipher-Lëscht ausgesinn, awer keng sinn

Zwou Cipher-Linnen ze stapelen stellt d'Verhandlung och net zréck, an d'Resultat ass e Profil, deen wéi eng Lëscht ausgesäit, sech awer wéi een eenzelen Wäert behält. Eng Linn mat AES-256-CBC an déi nächst mat CBC ass en heefege Versuch. CBC eleng nennt e Modus an net en Algorithmus, dofir kann en Analysator et op enger Plaz ugeholl an op der nächster ofgeleent hunn. Widderholl cipher-Direktive setzen déiselwecht Optioun zweemol, amplaz Kandidaten ze sammelen.

Iwwerpréift akzeptéiert Nimm mat openvpn --show-ciphers op der Zil-Binärdatei, amplaz eng Lëscht aus engem Guide ze kopéieren, dee fir en anere Branch geschriwwe gouf. D'Lëscht ännert sech tëscht Release. En Numm, deen an engem Branch gülteg ass, ass net onbedéngt am aneren gülteg.

Wann d'Zil e Leeschtungsverglach war, halt am Fong d'Algorithme an d'Belaaschtung fest. Op CBC ze wiesselen ass keng Moossnam, datt Verschlësselung feelt.

Iwwerpréift, wat d'Verbindung tatsächlech verhandelt huet

Baut eng nei Verbindung op a liest d'Datekanal-Linn am Log, déi de benotzten Cipher nennt. D'Steierkanal-Suite gëtt separat decidéiert, dofir weist déi erlaabt Lëscht an der Datei just, wat ugebuede gouf. Wann déi zwou Säiten eppes gewielt hunn, wat Dir net erwaart hutt, sinn d'Lëschten déi Plaz fir nozekucken an net d'Tunnel-Schnittstell. Bestätegt d'Resultat op enger zweeter Verbindung no all Ännerung, well eng Restart eng gecachte Sessioun ka weiderbenotzen.

Halt dat verhandelt Resultat am Deployment-Record niewent der Profilversioun. Dat ass de Fakt, deen déi nächst Fro beäntwert, wéi eng Verschlësselung den Traffic wierklech schützt.