AES-256-GCM nav atrasts: klienta iespēja vai sarunas?

OpenVPN profils, kas darbojas citur, ziņo, ka AES-256-GCM nav atrasts vai ka pusēm nav kopīga šifra, un pirmā vēlme ir labot profilu. Šie divi ziņojumi apraksta atšķirīgus bojājumus. Viens saka, ka vietējai programmai nav šāda algoritma; otrs, ka abām pusēm ir algoritmi, bet nav kopīgas izvēles. Profila labošana neatrisina nevienu, kamēr nezināt, kura jums ir.

Izlasiet precīzo kļūdas tekstu un programmu, kas to radīja.

Nosakiet, kura kļūda jums ir

Ziņojums par neatrastu šifru nāk no opciju analīzes vietējā datorā, pirms tiek nosūtīta jebkura pakete. Tas nozīmē, ka izpildāmā datne jūsu priekšā vai bibliotēka, ar ko tā saistīta, nepiedāvā šo algoritmu. Ziņojums par kopīga šifra neesamību nāk vēlāk, sarunu laikā, un nozīmē, ka abas puses atbalsta šifrus, bet nevar vienoties par vienu.

Atšķirība ir svarīga, jo viens ir programmatūras versijas problēma, bet otrs ir konfigurācijas problēma. Pirmo atrisina versijas numurs. Otro atrisina divu sarakstu salīdzināšana.

Vietējs iespēju trūkums

Veci kopienas būvējumi ir pirms mūsdienu noklusējumiem, un galddatora lietotne var ņemt līdzi savu dzinēju, kas atšķiras no blakus instalētās komandrindas pakotnes. Pārbaudes veiciet tai izpildāmajai datnei, kas tiešām sāka savienojumu, un pēc tam izvēlieties atbalstītu būvējumu, nevis māciet vecai programmai jaunu algoritmu.

openvpn --version
openvpn --show-ciphers | grep -i gcm
openvpn --show-tls | head -5

Ja AES-256-GCM šajā sarakstā nav, neviena profila rinda to nepievienos. Risinājums ir jaunāks klients vai cits būvējums, un vecākās puses ierobežojumi kļūst par atsevišķu dizaina jautājumu.

Klientos, kas balstīti uz OpenVPN 3, dzinējs un pieņemtās direktīvas atšķiras no kopienas 2.x līnijas, tāpēc tas pats profila teksts var neizdoties iemeslu dēļ, kuriem nav nekāda sakara ar šifru sarakstu.

Sarunu trūkums

Kad abas puses uzskaita algoritmu, paliek jautājums, kuru sarakstu katra puse piedāvā. Kopienas OpenVPN pārdēvēja sarunu direktīvu: ncp-ciphers 2.4 kļuva par data-ciphers 2.5, un 2.6 vecā cipher rinda galvenokārt kalpo savietojamībai un atkāpšanās variantam, nevis nosaka sarunāto kopu.

Tāpēc, mainot tikai veco cipher rindu, sarunu saraksts var palikt neskarts. Vecā rinda joprojām ir svarīga atkāpšanās variantam, un tas ir atsevišķs darbs. Abu sajaukšana rada labojumus, kas neko redzamu nemaina.

openvpn --version | head -2
grep -n -E '^(data-ciphers|ncp-ciphers|cipher|tls-cipher)' server.conf client.ovpn

Salīdziniet abu galu sarakstus un servera atteikuma ziņojumu. Ja krustpunkts ir tukšs, sarakstus saskaņojiet apzināti, nevis kopējiet vērtību no raksta, kas rakstīts citai versijai. Pārāk plašs saraksts klusi vājina katru savienojumu. Pārāk šaurs saraksts izslēdz pusi, ko gribējāt paturēt.

Saglabājiet savietojamību skaidru

Atkāpšanās variants vienai vecai pusei ir lēmums ar izmaksām: viss izvietojums pieņem vājāku opciju, lai viena ierīce varētu pieslēgties. Tā arī pierakstiet, un ierobežojiet to ar pusi, kurai tas nepieciešams.

Rezultātu nosaka divi nosacījumi. Ja kļūda ir vietēja, nomainiet būvējumu. Ja kļūda ir sarunu, saskaņojiet sarakstus abos galos un pierakstiet, kuras versijas atbalstāt.

Pēc tam ziņojiet par precīzo kļūdu, pievienojot versijas un iespēju izvadi. Šis pāris atdala trūkstošo algoritmu no nesaskaņas un aptur nākamo spekulatīvo labojumu kārtu pirms tās sākuma.