AES-256-GCM не е пронајден: можност на клиентот или преговори?

Профил на OpenVPN што работи на друго место известува дека AES-256-GCM не е пронајден или дека страните немаат заедничка шифра, а првиот импулс е да се уреди профилот. Овие две пораки опишуваат различни дефекти. Едната вели дека локалната програма нема таков алгоритам; другата дека двете страни имаат алгоритми, но не и заеднички избор. Уредувањето на профилот не решава ниту едно додека не знаете кое го имате.

Прочитајте го точниот текст на грешката и програмата што ја создала.

Одредете која грешка ја имате

Пораката за шифра што не е пронајдена доаѓа од анализата на опциите на локалната машина, пред да се испрати било кој пакет. Тоа значи дека извршната датотека пред вас или библиотеката со која е поврзана не го нуди тој алгоритам. Пораката за немање заедничка шифра доаѓа подоцна, за време на преговорите, и значи дека двете страни поддржуваат шифри, но не можат да се договорат за една.

Разликата е важна зашто едната е проблем со верзијата на софтверот, а другата со конфигурацијата. Првата се решава со број на верзија. Втората се решава со споредување на две списоци.

Локален недостиг на можност

Старите заеднички изградби се постари од современите стандардни вредности, а десктоп апликацијата може да носи свој мотор што се разликува од пакетот за командна линија инсталиран покрај неа. Проверките правете ги на извршната датотека што навистина ја започнала врската, потоа изберете поддржана изградба наместо да учите стара програма на нов алгоритам.

openvpn --version
openvpn --show-ciphers | grep -i gcm
openvpn --show-tls | head -5

Ако AES-256-GCM не се појави на таа список, ниту една линија од профилот нема да го додаде. Решението е понов клиент или друга изградба, а ограничувањата на постарата страна стануваат посебно прашање за дизајн.

Кај клиентите засновани на OpenVPN 3 моторот и прифатените директиви се разликуваат од заедничката линија 2.x, па истиот текст на профилот може да не успее од причини што немаат врска со списокот на шифри.

Недостиг при преговорите

Кога двете страни го наведуваат алгоритмот, останува прашањето која список ја нуди секоја страна. Заедничкиот OpenVPN ја преименува директивата за преговори: ncp-ciphers во 2.4 стана data-ciphers во 2.5, а во 2.6 постарата линија cipher служи главно за компатибилност и резерва, а не за одредување на договореното множество.

Затоа менување само на старата линија cipher може да ја остави списокот за преговори недопрена. Старата линија е сè уште важна за резервата, а тоа е посебна работа. Мешањето на двете дава измени што не менуваат ништо видливо.

openvpn --version | head -2
grep -n -E '^(data-ciphers|ncp-ciphers|cipher|tls-cipher)' server.conf client.ovpn

Споредете ги списоците на двата краја и пораката за одбивање од серверот. Ако пресекот е празен, усогласете ги списоците намерно наместо да копирате вредност од текст напишан за друга верзија. Премногу широка список тивко ја ослабува секоја врска. Премногу тесна список ја исклучува страната што сте сакале да ја задржите.

Држете ја компатибилноста експлицитна

Резерва за една стара страна е одлука со цена: целото распоредување прифаќа послаба опција за да може еден уред да се поврзе. Запишете го како такво и ограничете го на страната што го бара.

Две услови ја одредуваат последицата. Ако грешката е локална, заменете ја изградбата. Ако грешката е во преговорите, усогласете ги списоците на двата краја и запишете кои верзии ги поддржувате.

Потоа пријавете ја точната грешка со приложен излез за верзијата и можностите. Овој пар го одвојува алгоритмот што недостига од несогласувањето и ја запира следната рунда на претпоставени измени пред да започне.