Tunnelblick data-ciphers ikke gjenkjent: hvilken motor kjørte?

Tunnelblick rapporterer et ukjent data-ciphers-alternativ, nevner OpenVPN 2.4 i samme åndedrag, og tilkoblingen starter aldri. Dette er en lokal parsefeil og ikke uenighet om chiffere, fordi motoren avviste profilen før noen forhandling med gatewayen fant sted. Det vanlige rådet om serverens chifferpolitikk kan ikke hjelpe her; parseren må først forstå filen. Finn motoren som nettopp denne konfigurasjonen faktisk startet, og resten følger.

Les logglinjen før du rører profilen

Åpne den feilende tilkoblingen i detaljvinduet i Tunnelblick og les loggen fra toppen. De første linjene angir motorversjonen og profilen som gis til den, etterfulgt av alternativet som stoppet parsingen. Alt etter det er støy, fordi prosessen er avsluttet.

Noter tre fakta fra den loggen: motorversjonen, konfigurasjonsnavnet og den nøyaktige meldingen. De tre er hele diagnosen. De er også det du trenger hvis det viser seg at rettelsen krever at den installerte applikasjonen endres. Ta skjermbilde av linjene i stedet for å gjenfortelle dem, fordi alternativnavn lett skrives feil når de gjentas fra hukommelsen.

Bekreft hvilken motor den konfigurasjonen kjører

Tunnelblick er en applikasjon pakket rundt en OpenVPN-motor, og ulike konfigurasjoner kan kjøre ulike motorer. Kontroller versjonen som er valgt for denne konfigurasjonen i detaljvinduet i stedet for å lese applikasjonsversjonen, og ikke bytt den ut med utdata fra en terminal openvpn-binærfil som konfigurasjonen aldri bruker. Veiledningen for OpenVPN-versjoner fra Tunnelblick beskriver hvordan det valget virker og hvor valget lagres.

Forskjellen betyr noe fordi en maskin kan ha en moderne binærfil i PATH og en medfølgende 2.4-motor bak tilkoblingen som feilet. Profilen vurderes av den andre.

openvpn --version
ls /Applications/Tunnelblick.app/Contents/Resources/openvpn/

Disse to kommandoene viser hva et terminal ville kjøre og hvilke motormapper den installerte applikasjonen har. Ingen av dem beviser hva den feilende konfigurasjonen brukte, siden loggen allerede har fortalt deg det, og stiene er forskjellige mellom Tunnelblick-utgivelser.

Hvorfor direktivnavnet endret seg

OpenVPN innførte data-ciphers som forhandlingslisten i 2.5 og erstattet den tidligere ncp-ciphers-skrivemåten som ble foreldet i den utgivelsen. En 2.4-motor har ikke et slikt alternativ, så den stopper ved det første tokenet den ikke kjenner. Det enkelte cipher-alternativet er heller ikke et eldre alias for listen; det navngir én chiffer i stedet for et forhandlingssett.

Derfor gir tekstsubstitusjon på tvers av versjoner profiler som parses og deretter oppfører seg uventet, og derfor er det ikke en versjonskontroll å kopiere et utdrag fra et foruminnlegg. Alternativnavnene flyttet seg sammen med reservehåndtering og standardverdier, og en fil som er satt sammen ved å gi én direktiv nytt navn, tilsvarer ikke en som er skrevet for motoren.

Rett motoren eller profilen, ikke symptomet

For en støttet utrulling er den varige reparasjonen en støttet kombinasjon av Tunnelblick og motor som godtar operatørens profil, arrangert gjennom den som eier installasjonen av applikasjonen. Hvis en eldre installasjon må bli en stund, be om en profil skrevet for den motoren og for chifferne gatewayen faktisk godtar.

Sletting av data-ciphers og data-ciphers-fallback fjerner faktisk denne bestemte parsefeilen, og det er nettopp derfor det er fristende. Det endrer også hvilke chiffer som forhandles, i stillhet, i en sikkerhetskonfigurasjon du ikke hadde tenkt å redigere. Behold den opprinnelige profilen og sammenlign i stedet de støttede innstillingene bevisst.

Prøv igjen og les neste trinn

Etter rettelsen, prøv tilkoblingen igjen og les den nye loggen fra begynnelsen i stedet for å anta suksess. En profil som nå parses kan fortsatt stoppe ved chifferforhandling, ved sertifikatverifisering, ved autentisering eller ved ruting, og hver av disse feilene har sitt eget bevis.

Hvis forhandlingen mislykkes, sammenlign chifferne begge parter støtter med dem hver av dem har lov til å bruke. Hvis autentiseringen mislykkes, fungerer profilen og motoren nå godt nok til å ha nådd gatewayen, noe som er fremgang verdt å notere. Å stoppe den kjeden ved den første stille loggen er hvordan en sikkerhetsinnstilling fjernes av feil grunn.