OpenVPN praneša, kad ncp-disable nežinomas: kas jį pakeitė?

Klientas atsisako paleisti su parinkčių klaida, kurioje nurodomas ncp-disable, nors profilis veikė ankstesniame kompiuteryje. Šis pranešimas nereiškia, kad parinktis parašyta neteisingai arba kad šifravimas sugedęs. Jis reiškia, kad priešais esanti binarioji programa visiškai nepažįsta šios direktyvos, ir tam yra dvi labai skirtingos priežastys. Kuri galioja, lemia, ar redaguosite profilį, ar keisite klientą.

Klaida gali kilti iš naujesnės binariosios programos

Neatpažintos parinkties klaida susijusi su analizatoriumi, o ne su tuneliu. OpenVPN 2.4 pridėjo derinamus šifravimo parametrus, 2.5 paskelbė juos išjungiantį jungiklį pasenusiu, o 2.6 visiškai jį pašalino. Todėl profilis, parašytas 2.3 ar 2.4 versijai, nepavyksta dabartiniame kliente, net jei faile nieko nepasikeitė. Skundžiama versija yra naujesnė, o ne senesnė.

Prieš ką nors redaguodami, išsiaiškinkite, kuri vykdomoji byla sukėlė pranešimą. Darbalaukio klientas turi savo variklį, o atskirai įdiegta komandų eilutės binarioji programa turi savo versiją. Abi gali nesutarti tame pačiame kompiuteryje.

openvpn --version tai išsprendžia bandomai binariajai programai. GUI klientas gali nerodyti šios komandos, tuomet skaitykite jo informacijos ekraną arba pridėtos bibliotekos versiją.

Ką parinktis iš tikrųjų valdė

Direktyva išjungė kriptografinių parametrų derinimą, todėl abu galai grįždavo prie senesnio pasirinkimo elgsenos, kurią valdė cipher nuostata. Ji niekada neišjungė šifravimo ir niekada nepavertė tunelio paprastu tekstu. Skaityti ją kaip saugumo jungiklį yra pirmas neteisingas posūkis, ir jis veda prie pakeitimų, kurie ryšį blogina, o ne gerina.

Kai derinimasis egzistuoja, lygiavertis klausimas yra, kokius šifrus kiekviena pusė pasirengusi naudoti. Tai politikos klausimas, o politika gyvena data-ciphers nuo 2.5.

Sensensnis pavadinimas ncp-ciphers priklauso 2.4. Abiejų pavadinimų maišymas tarp pusių yra dažna vienkryptis derinimosi nesėkmių priežastis. Profilis, turintis abu, yra profilis, kurį redagavo du žmonės skirtingu metu.

Pakeiskite politiką, o ne rašybą

Nustatykite data-ciphers abiejose pusėse su numatytu bendru pasirinkimu ir laikykite sąrašą pakankamai trumpą, kad recenzentas galėtų apie jį mąstyti. Vienos savavališkos eilutės pakeitimas nieko neįrodo; rezultatas priklauso nuo abiejų sąrašų sankirtos ir nuo to, ką palaiko TLS paketas. Patvirtinkite pusių sutarimą skaitydami suderintą rezultatą, o ne konfigūraciją. Tada įrašykite abu sąrašus į diegimo įrašą, kad kitas pakeitimas prasidėtų nuo žinomos būsenos.

Atnaujinkite profilį per jo savininką. Pridėjus nepaisymo parinktį pasenusiai direktyvai paslėpti, politikos klausimas lieka neatsakytas.

Jei senesnei pusei tikrai reikia suderinamumo apdorojimo, apribokite jį ta diegimo vieta. Pasenusios elgsenos atkūrimas visame pasaulyje nėra šiuolaikinių pusių sujungimo sąlyga. Išimtis turėtų įvardyti pusę, kuriai ji egzistuoja.

Dvi eilutės, kurios atrodo kaip šifrų sąrašas, bet nėra

Dviejų šifrų eilučių sukrovimas taip pat neatkuria derinimosi, o rezultatas yra profilis, kuris atrodo kaip sąrašas, bet elgiasi kaip viena reikšmė. Viena eilutė su AES-256-CBC, o kita su CBC yra dažnas bandymas. CBC vienas pats įvardija režimą, o ne algoritmą, todėl analizatorius gali jį priimti vienoje vietoje ir atmesti kitoje. Pasikartojančios cipher direktyvos nustato tą pačią parinktį du kartus, o ne kaupia kandidatus.

Patikrinkite priimamus pavadinimus su openvpn --show-ciphers tikslinėje binariojoje programoje, o ne kopijuokite sąrašą iš vadovo, skirto kitai šakai. Sąrašas keičiasi tarp leidimų. Vienoje šakoje galiojantis pavadinimas nebūtinai galioja kitoje.

Jei tikslas buvo našumo palyginimas, užrašykite algoritmus ir darbo krūvį. Perėjimas prie CBC nėra šifravimo nebuvimo matavimas.

Patikrinkite, dėl ko ryšys iš tikrųjų susiderino

Užmegzkite naują ryšį ir perskaitykite duomenų kanalo eilutę žurnale, kurioje nurodomas naudojamas šifras. Valdymo kanalo rinkinys sprendžiamas atskirai, todėl faile leidžiamas sąrašas rodo tik tai, kas buvo pasiūlyta. Kai abi pusės pasirinko tai, ko nesitikėjote, žiūrėti reikia į sąrašus, o ne į tunelio sąsają. Patvirtinkite rezultatą antrame ryšyje po bet kokio pakeitimo, nes vienas paleidimas iš naujo gali pakartotinai naudoti podėlyje saugomą sesiją.

Laikykite suderintą rezultatą diegimo įraše šalia profilio versijos. Būtent šis faktas atsako į kitą klausimą, kuris šifras iš tikrųjų apsaugo srautą.