AES-256-GCM ma nstabx: kapaċità tal-klijent jew negozjar?

Profil tal-OpenVPN li jaħdem band’oħra jirrapporta li AES-256-GCM ma jinstabx, jew li l-pari m’għandhomx cipher komuni, u l-ewwel impuls hu li tibdel il-profil. Dawn iż-żewġ messaġġi jiddeskrivu fallimenti differenti. Wieħed jgħid li l-programm lokali m’għandux dak l-algoritmu; l-ieħor jgħid li ż-żewġ naħat għandhom algoritmi iżda m’għandhomx għażla komuni. Tibdil tal-profil ma jsewwi lil ħadd minnhom sakemm tkun taf liema għandek.

Aqra t-test eżatt tal-iżball u l-programm li pproduċieh.

Iddeċiedi liema żball għandek

Il-messaġġ dwar cipher li ma jinstabx jiġi mill-analiżi tal-għażliet fuq il-magna lokali, qabel ma jintbagħat xi pakkett. Dan ifisser li l-fajl eżekuttabbli quddiemek, jew il-librerija li huwa marbut magħha, ma joffrix dak l-algoritmu. Il-messaġġ dwar nuqqas ta’ cipher komuni jiġi aktar tard, waqt in-negozjar, u jfisser li ż-żewġ naħat jappoġġaw iċ-ciphers iżda ma jaqblux fuq wieħed.

Id-differenza hija importanti għax waħda hija problema tal-verżjoni tas-software u l-oħra problema tal-konfigurazzjoni. L-ewwel tissolva b’numru tal-verżjoni. It-tieni tissolva billi tqabbel żewġ listi.

Nuqqas lokali ta’ kapaċità

Il-bini antiki tal-komunità huma eqdem mill-valuri prestabbiliti moderni, u applikazzjoni tad-desktop tista’ ġġib l-engine tagħha li hija differenti mill-pakkett tal-linja tal-kmand installat ħdejha. Agħmel il-verifiki fuq il-fajl eżekuttabbli li tassew beda l-konnessjoni, imbagħad agħżel build appoġġat minflok tgħallem algoritmu ġdid lil programm antik.

openvpn --version
openvpn --show-ciphers | grep -i gcm
openvpn --show-tls | head -5

Jekk AES-256-GCM ma jidhirx f’dik il-lista, ebda linja tal-profil ma żżidu. Is-soluzzjoni hija klijent aktar ġdid jew build ieħor, u l-limitazzjonijiet tan-naħa l-antika jsiru kwistjoni tad-disinn separata.

Fil-klijenti bbażati fuq OpenVPN 3 l-engine u d-direttivi aċċettati huma differenti mil-linja tal-komunità 2.x, għalhekk l-istess test tal-profil jista’ jfalli għal raġunijiet li m’għandhomx x’jaqsmu mal-lista taċ-ciphers.

Nuqqas fin-negozjar

Meta ż-żewġ pari jelenkaw l-algoritmu, il-mistoqsija li tibqa’ hija liema lista toffri kull naħa. L-OpenVPN tal-komunità biddel l-isem tad-direttiva tan-negozjar: ncp-ciphers f’2.4 saret data-ciphers f’2.5, u f’2.6 il-linja cipher antika sservi l-aktar għall-kompatibilità u għall-waqgħa lura, mhux biex tiddefinixxi s-sett innegozjat.

Għalhekk tibdil ta’ linja cipher antika biss jista’ jħalli l-lista tan-negozjar ma tmissx. Il-linja antika għadha importanti għall-waqgħa lura, u dik hija xogħol separat. Li tħallat it-tnejn jipproduċi editjar li ma jbiddel xejn viżibbli.

openvpn --version | head -2
grep -n -E '^(data-ciphers|ncp-ciphers|cipher|tls-cipher)' server.conf client.ovpn

Qabbel il-listi taż-żewġ trufijiet u l-messaġġ ta’ rifjut tas-server. Jekk is-simultanza hija vojta, allinja l-listi b’mod deliberat minflok ma tikkopja valur minn artiklu miktub għal verżjoni oħra. Lista wisq ġeneruża ddgħajjef bil-kwiet kull konnessjoni. Lista wisq dejqa teskludi l-par li ridt iżżomm.

Żomm il-kompatibilità espliċita

Waqgħa lura għal par antik hija deċiżjoni bi prezz: id-deployment kollu jaċċetta għażla aktar dgħajfa biex apparat wieħed ikun jista’ jikkonnettja. Iktibha hekk, u illimita lill-par li jeħtieġha.

Żewġ kundizzjonijiet jiddeċiedu l-eżitu. Jekk l-iżball huwa lokali, ibdel il-build. Jekk l-iżball huwa tan-negozjar, allinja l-listi fuq iż-żewġ naħat u nnota liema verżjonijiet qed tappoġġa.

Imbagħad irrapporta l-iżball eżatt bl-output tal-verżjoni u tal-kapaċitajiet mehmuż. Dak il-par jifred algoritmu nieqes minn nuqqas ta’ qbil, u jwaqqaf ir-round li jmiss ta’ editjar spekulattiv qabel ma jibda.