OpenVPN вели дека ncp-disable е непознат: што го замени?

Клиентот одбива да стартува со грешка во опциите која го споменува ncp-disable, а профилот работел на претходната машина. Оваа порака не значи дека опцијата е погрешно напишана или дека шифрирањето е расипано. Таа значи дека бинарната датотека пред вас воопшто не ја познава директивата, а за тоа има два многу различни причини. Која се применува одредува дали ќе го уредите профилот или ќе го смените клиентот.

Грешката може да дојде од понова бинарна датотека

Грешката за непризнаена опција се однесува на парсерот, не на тунелот. OpenVPN 2.4 додаде параметри за шифрирање за кои може да се преговара, 2.5 го прогласи за застарен прекинувачот што ги исклучуваше, а 2.6 целосно го отстрани. Затоа профил напишан за 2.3 или 2.4 не успева на тековен клиент, дури и ако ништо во датотеката не е сменето. Верзијата што се жали е понова, не постара.

Откријте која извршна датотека ја создаде пораката пред да уредите нешто. Десктоп клиентот носи сопствен мотор, додека одделно инсталираната бинарна датотека за командна линија има своја верзија. Двете може да не се согласуваат на истата машина.

openvpn --version го решава тоа за бинарната датотека што ја тестирате. GUI клиентот можеби не ја прикажува таа команда, во тој случај прочитајте го неговиот екран за информации или верзијата на вклучената библиотека.

Што всушност контролираше опцијата

Директивата го исклучуваше преговарањето за криптографски параметри, па двата краја се враќаа на постаро однесување при избор водено од поставката cipher. Таа никогаш не го исклучи шифрирањето и никогаш не го претвори тунелот во чист текст. Да се чита како безбедносен прекинувач е првиот погрешен свиок и води кон промени што ја прават врската полоша наместо подобра.

Кога постои преговарање, еквивалентното прашање е кои шифри секоја страна е подготвена да ги користи. Тоа е прашање на политика, а политиката живее во data-ciphers од 2.5 натаму.

Постарото име ncp-ciphers припаѓа на 2.4. Мешањето на двете имиња меѓу страните е чест извор на еднонасочни неуспеси при преговарање. Профил што ги носи двете е профил што го уредувале две лица во различно време.

Заменете ја политиката, не правописот

Поставете data-ciphers на двете страни со предвидена заедничка избор и држете ја листата доволно кратка за прегледувачот да може да размисли за неа. Менувањето на еден произволен ред не докажува ништо; резултатот зависи од пресекот на двете листи и од тоа што го поддржува TLS стекот. Потврдете дека страните се согласуваат со читање на преговараниот резултат наместо конфигурацијата. Потоа запишете ги двете листи во записот за распоредување за следната промена да започне од позната состојба.

Ажурирајте го профилот преку оној што го поседува. Додавањето опција за игнорирање со цел да се скрие застарена директива го остава прашањето за политиката без одговор.

Ако постара страна навистина бара обработка на компатибилност, ограничете ја на тоа распоредување. Враќањето на застареното однесување глобално не е предуслов за поврзување современи страни. Исклучокот треба да ја именува страната за која постои.

Два реда што изгледаат како листа на шифри, но не се

Собирањето на два реда шифри исто така не го враќа преговарањето, а резултатот е профил што изгледа како листа, но се однесува како една вредност. Еден ред со AES-256-CBC и следниот со CBC е чест обид. CBC сам по себе именува режим, не алгоритам, па парсерот може да го прифати на едно место и да го одбие на следното. Повторените cipher директиви ја поставуваат истата опција двапати наместо да акумулираат кандидати.

Проверете ги прифатените имиња со openvpn --show-ciphers на целната бинарна датотека наместо да копирате листа од водич напишан за друга гранка. Листата се менува меѓу изданијата. Име валидно во една гранка не е нужно валидно во другата.

Ако целта беше споредба на перформанси, запишете ги алгоритмите и оптоварувањето. Преминот на CBC не е мерење на отсуство на шифрирање.

Проверете што навистина преговарала врската

Подигнете нова врска и прочитајте го редот за податочниот канал во дневникот што ја наведува шифрата во употреба. Множеството на контролниот канал се одлучува одделно, па дозволената листа во датотеката покажува само што било понудено. Кога двете страни избрале нешто што не сте го очекувале, листите се местото каде треба да се гледа, а не интерфејсот на тунелот. Потврдете го резултатот на втора врска по секоја промена, бидејќи едно рестартирање може повторно да искористи кеширана сесија.

Чувајте го преговараниот резултат во записот за распоредување до верзијата на профилот. Токму овој факт одговара на следното прашање за тоа која шифра навистина го штити сообраќајот.