OpenVPN berkata ncp-disable tidak dikenali: apakah penggantinya?

Klien enggan bermula dengan ralat pilihan yang menamakan ncp-disable, sedangkan profil itu berfungsi pada mesin sebelumnya. Mesej itu tidak bermaksud pilihan itu salah eja atau penyulitan rosak. Ia bermaksud binari di hadapan anda sama sekali tidak mengenali arahan itu, dan ada dua sebab yang sangat berbeza untuknya. Yang mana terpakai menentukan sama ada anda menyunting profil atau menukar klien.

Ralat boleh datang daripada binari yang lebih baharu

Ralat pilihan tidak dikenali berkaitan penghurai, bukan terowong. OpenVPN 2.4 menambah parameter penyulitan yang boleh dirunding, 2.5 mengisytiharkan suis yang mematikannya sebagai usang, dan 2.6 membuangnya sepenuhnya. Oleh itu profil yang ditulis untuk 2.3 atau 2.4 gagal pada klien semasa walaupun tiada apa berubah dalam fail. Versi yang merungut lebih baharu, bukan lebih lama.

Ketahui binari mana yang menghasilkan mesej itu sebelum menyunting apa-apa. Klien desktop membawa enjinnya sendiri, manakala binari baris arahan yang dipasang berasingan mempunyai versinya sendiri. Kedua-duanya boleh tidak bersetuju pada mesin yang sama.

openvpn --version menyelesaikannya untuk binari yang anda uji. Klien GUI mungkin tidak memaparkan arahan itu; dalam hal ini baca skrin tentangnya atau versi pustaka yang dibundel.

Apa yang sebenarnya dikawal oleh pilihan itu

Arahan itu mematikan rundingan parameter kriptografi, jadi kedua-dua hujung kembali kepada tingkah laku pemilihan lama yang dikawal oleh tetapan cipher. Ia tidak pernah mematikan penyulitan dan tidak pernah mengubah terowong menjadi teks biasa. Membacanya sebagai suis keselamatan ialah pusingan salah yang pertama, dan ia membawa kepada perubahan yang menjadikan sambungan lebih buruk, bukan lebih baik.

Setelah rundingan wujud, soalan setara ialah penyulitan mana yang setiap pihak sedia gunakan. Itu soalan dasar, dan dasar hidup dalam data-ciphers pada 2.5 dan seterusnya.

Nama lama ncp-ciphers milik 2.4. Mencampurkan kedua-dua nama antara rakan ialah punca biasa kegagalan rundingan sehala. Profil yang membawa kedua-duanya ialah profil yang disunting oleh dua orang pada masa berbeza.

Ganti dasar itu, bukan ejaannya

Tetapkan data-ciphers pada kedua-dua rakan dengan pilihan bersama yang dimaksudkan, dan pastikan senarai cukup pendek untuk seorang penyemak menaakulnya. Mengubah satu baris sewenang-wenangnya tidak membuktikan apa-apa; hasilnya bergantung pada persilangan kedua-dua senarai dan pada apa yang disokong oleh tindanan TLS. Sahkan persetujuan rakan dengan membaca hasil rundingan dan bukan konfigurasi. Kemudian tulis kedua-dua senarai ke dalam rekod penggunaan supaya perubahan seterusnya bermula daripada keadaan yang diketahui.

Kemas kini profil melalui pemiliknya. Menambah pilihan abai untuk menyembunyikan arahan usang membiarkan soalan dasar tidak terjawab.

Jika rakan lama benar-benar memerlukan pengendalian keserasian, hadkannya kepada penggunaan itu. Memulihkan tingkah laku usang secara global bukan prasyarat untuk menyambung rakan moden. Pengecualian itu harus menamakan rakan yang menjadi tujuannya.

Dua baris yang kelihatan seperti senarai penyulitan tetapi bukan

Menindan dua baris penyulitan juga tidak memulihkan rundingan, dan hasilnya ialah profil yang kelihatan seperti senarai tetapi berkelakuan seperti satu nilai. Satu baris menamakan AES-256-CBC dan baris berikutnya menamakan CBC ialah percubaan biasa. CBC sahaja menamakan mod, bukan algoritma, jadi penghurai boleh menerimanya di satu tempat dan menolaknya di tempat berikutnya. Arahan cipher berulang menetapkan pilihan yang sama dua kali dan bukannya mengumpul calon.

Semak nama yang diterima dengan openvpn --show-ciphers pada binari sasaran dan bukannya menyalin senarai daripada panduan yang ditulis untuk cabang lain. Senarai berubah antara keluaran. Nama yang sah dalam satu cabang tidak semestinya sah dalam cabang yang lain.

Jika tujuannya perbandingan prestasi, catat algoritma dan beban kerja. Bertukar kepada CBC bukan ukuran bahawa penyulitan tiada.

Semak apa yang sebenarnya dirundingkan oleh sambungan

Buka sambungan baharu dan baca baris saluran data dalam log, yang menamakan penyulitan yang digunakan. Suite saluran kawalan ditentukan secara berasingan, jadi senarai yang dibenarkan dalam fail hanya menunjukkan apa yang ditawarkan. Apabila kedua-dua rakan memilih sesuatu yang tidak anda jangkakan, senarailah tempat untuk dilihat dan bukan antara muka terowong. Sahkan hasilnya pada sambungan kedua selepas sebarang perubahan, kerana satu permulaan semula boleh menggunakan semula sesi yang dicache.

Simpan hasil rundingan dalam rekod penggunaan di sebelah versi profil. Itulah fakta yang menjawab soalan seterusnya tentang penyulitan mana yang benar-benar melindungi trafik.