OpenVPN ziņo, ka ncp-disable nav zināms: ar ko tas tika aizstāts?

Klients atsakās startēt ar opciju kļūdu, kurā minēts ncp-disable, lai gan profils darbojās iepriekšējā iekārtā. Šis ziņojums nenozīmē, ka opcija ir nepareizi uzrakstīta vai šifrēšana ir salūzusi. Tas nozīmē, ka binārais fails jūsu priekšā vispār nepazīst šo direktīvu, un tam ir divi ļoti atšķirīgi iemesli. Kurš no tiem attiecas, nosaka, vai rediģēsiet profilu vai mainīsiet klientu.

Kļūda var nākt no jaunāka binārā faila

Neatpazītas opcijas kļūda attiecas uz analizatoru, nevis tuneli. OpenVPN 2.4 pievienoja apspriežamus šifrēšanas parametrus, 2.5 pasludināja tos izslēdzošo slēdzi par novecojušu, un 2.6 to pilnībā noņēma. Tāpēc profils, kas rakstīts 2.3 vai 2.4 versijai, neizdodas pašreizējā klientā, pat ja failā nekas nav mainījies. Versija, kas sūdzas, ir jaunāka, nevis vecāka.

Pirms kaut ko rediģējat, noskaidrojiet, kurš izpildāmais fails radīja ziņojumu. Darbvirsmas klients līdzi nes savu dzinēju, bet atsevišķi instalētajam komandrindas binārajam failam ir sava versija. Abi var nesaskanēt tajā pašā iekārtā.

openvpn --version to nosaka pārbaudāmajam binārajam failam. GUI klients var nerādīt šo komandu, tādā gadījumā lasiet tā informācijas ekrānu vai komplektā iekļautās bibliotēkas versiju.

Ko opcija patiesībā vadīja

Direktīva izslēdza kriptogrāfisko parametru apspriešanu, tāpēc abi gali atgriezās pie vecākas atlases uzvedības, ko vadīja cipher iestatījums. Tā nekad neizslēdza šifrēšanu un nekad nepārvērta tuneli vienkāršā tekstā. Lasīt to kā drošības slēdzi ir pirmais nepareizais pagrieziens, un tas noved pie izmaiņām, kas savienojumu padara sliktāku, nevis labāku.

Kad apspriešana pastāv, līdzvērtīgs jautājums ir, kādus šifrus katra puse ir gatava izmantot. Tas ir politikas jautājums, un politika mīt data-ciphers no 2.5 versijas.

Vecākais nosaukums ncp-ciphers pieder 2.4. Abu nosaukumu sajaukšana starp pusēm ir biežs vienvirziena apspriešanās neveiksmju avots. Profils, kas satur abus, ir profils, ko divi cilvēki rediģējuši dažādos laikos.

Aizstājiet politiku, nevis rakstību

Iestatiet data-ciphers abās pusēs ar paredzētu kopīgu izvēli un turiet sarakstu pietiekami īsu, lai recenzents par to varētu domāt. Vienas patvaļīgas rindas maiņa neko nepierāda; rezultāts ir atkarīgs no abu sarakstu krustojuma un no tā, ko atbalsta TLS steks. Apstipriniet pušu vienošanos, lasot apspriesto rezultātu, nevis konfigurāciju. Pēc tam ierakstiet abus sarakstus izvietošanas ierakstā, lai nākamā izmaiņa sāktos no zināmas stāvokļa.

Atjauniniet profilu ar tā īpašnieka starpniecību. Ignorēšanas opcijas pievienošana novecojušas direktīvas slēpšanai atstāj politikas jautājumu neatbildētu.

Ja vecākai pusei tiešām ir vajadzīga saderības apstrāde, ierobežojiet to ar to izvietojumu. Novecojušas uzvedības atjaunošana globāli nav priekšnoteikums modernu pušu savienošanai. Izņēmumam būtu jānosauc puse, kurai tas pastāv.

Divas rindas, kas izskatās kā šifru saraksts, bet nav

Divu šifru rindu sakraušana arī neatjauno apspriešanos, un rezultāts ir profils, kas izskatās kā saraksts, bet uzvedas kā viena vērtība. Viena rinda ar AES-256-CBC un nākamā ar CBC ir biežs mēģinājums. CBC pats par sevi nosauc režīmu, nevis algoritmu, tāpēc analizators to var pieņemt vienā vietā un noraidīt nākamajā. Atkārtotas cipher direktīvas iestata vienu un to pašu opciju divreiz, nevis uzkrāj kandidātus.

Pārbaudiet pieņemtos nosaukumus ar openvpn --show-ciphers mērķa binārajā failā, nevis kopējiet sarakstu no rokasgrāmatas, kas rakstīta citai atzars. Saraksts mainās starp laidieniem. Nosaukums, kas derīgs vienā atzarā, ne vienmēr ir derīgs otrā.

Ja mērķis bija veiktspējas salīdzinājums, pierakstiet algoritmus un darba slodzi. Pāreja uz CBC nav šifrēšanas neesamības mērījums.

Pārbaudiet, par ko savienojums patiešām vienojās

Izveidojiet jaunu savienojumu un izlasiet datu kanāla rindu žurnālā, kurā nosaukts izmantotais šifrs. Vadības kanāla komplekts tiek izlemts atsevišķi, tāpēc failā atļautais saraksts parāda tikai to, kas tika piedāvāts. Kad abas puses izvēlējās kaut ko, ko negaidījāt, jāmeklē sarakstos, nevis tuneļa saskarnē. Pēc jebkuras izmaiņas apstipriniet rezultātu otrajā savienojumā, jo viena restartēšana var atkārtoti izmantot kešatmiņā saglabātu sesiju.

Glabājiet apspriesto rezultātu izvietošanas ierakstā blakus profila versijai. Tieši šis fakts atbild uz nākamo jautājumu par to, kurš šifrs patiešām aizsargā datplūsmu.