OpenVPN melder at ncp-disable er ukjent: kva erstatta det?

Klienten nektar å starte med ein valfeil som nemner ncp-disable, medan profilen verka på den førre maskina. Denne meldinga tyder ikkje at valet er stava feil eller at krypteringa er øydelagd. Ho tyder at binærfilen framfor deg ikkje kjenner direktivet i det heile, og det er to svært ulike grunnar til det. Kva for ein som gjeld avgjer om du redigerer profilen eller byter klient.

Feilen kan kome frå ein nyare binærfil

Ein feil om ukjent val handlar om parsaren, ikkje tunnelen. OpenVPN 2.4 la til forhandlingsbare krypteringsparametrar, 2.5 erklærte brytaren som slo dei av som utdatert, og 2.6 fjerna han heilt. Difor feilar ein profil skriven for 2.3 eller 2.4 på ein noverande klient, sjølv om ingenting i fila er endra. Versjonen som klagar er nyare, ikkje eldre.

Finn ut kva køyrbar fil som gav meldinga før du redigerer noko. Ein skrivebordsklient har sin eigen motor, medan ein separat installert binærfil for kommandolinja har sin eigen versjon. Dei to kan vere usamde på same maskin.

openvpn --version avgjer det for binærfilen du testar. Ein GUI-klient viser kanskje ikkje kommandoen, og då bør du lese om-skjermen eller versjonen til biblioteket som følgjer med.

Kva valet faktisk styrte

Direktivet slo av forhandlinga av kryptografiske parametrar, slik at begge endar fall attende til eldre valåtferd styrt av innstillinga cipher. Det slo aldri av kryptering og gjorde aldri tunnelen om til klartekst. Å lese det som ein tryggleiksbrytar er den første feilsvingen, og det fører til endringar som gjer sambandet dårlegare i staden for betre.

Når forhandling finst, er det tilsvarande spørsmålet kva krypteringar kvar side er viljug til å bruke. Det er eit policy-spørsmål, og policyen bur i data-ciphers frå 2.5 og seinare.

Det eldre namnet ncp-ciphers høyrer til 2.4. Å blande dei to namna mellom partar er ei vanleg kjelde til einsidige forhandlingsfeil. Ein profil som ber begge, er ein profil redigert av to personar på ulike tidspunkt.

Erstatt policyen, ikkje stavemåten

Set data-ciphers på begge partar med eit tilsikta felles val, og hald lista kort nok til at ein meldar kan tenkje over henne. Å endre éi vilkårleg linje provar ingenting; resultatet avheng av snittet mellom begge listene og av kva TLS-stakken støttar. Stadfest at partane er samde ved å lese det forhandla resultatet i staden for konfigurasjonen. Skriv deretter begge listene inn i utrullingsprotokollen, slik at neste endring startar frå ein kjend tilstand.

Oppdater profilen gjennom den som eig han. Å leggje til eit ignoreringsval for å skjule eit utdatert direktiv lèt policy-spørsmålet stå ubesvart.

Viss ein eldre part verkeleg treng kompatibilitetshandtering, avgrens henne til den utrullinga. Å gjenopprette utdatert åtferd globalt er ikkje ein føresetnad for å kople saman moderne partar. Unntaket bør namngi parten det finst for.

To linjer som ser ut som ei krypteringsliste, men ikkje er det

Å stable to krypteringslinjer gjenopprettar heller ikkje forhandlinga, og resultatet er ein profil som ser ut som ei liste medan han oppfører seg som éin verdi. Ei linje med AES-256-CBC og den neste med CBC er eit vanleg forsøk. CBC åleine namngir ein modus, ikkje ein algoritme, så ein parsar kan godta det på éin stad og avvise det på den neste. Gjentekne cipher-direktiv set same val to gonger i staden for å samle kandidatar.

Kontroller aksepterte namn med openvpn --show-ciphers på målbinærfilen i staden for å kopiere ei liste frå ei rettleiding skriven for ein annan grein. Lista endrar seg mellom utgjevingar. Eit namn som er gyldig i éi grein, er ikkje nødvendigvis gyldig i den andre.

Viss målet var ei ytingasamanlikning, noter algoritmane og arbeidslasta. Å byte til CBC er ikkje ei måling av at kryptering manglar.

Kontroller kva tilkoplinga faktisk forhandla

Set opp ei ny tilkopling og les datakanallinja i loggen, som namngir krypteringa som blir brukt. Kontrollkanalsuiten blir avgjord separat, så den tillatne lista i fila viser berre kva som vart tilbode. Når dei to partane har valt noko du ikkje venta, er listene staden å sjå, ikkje tunnelgrensesnittet. Stadfest resultatet på ei andre tilkopling etter kvar endring, fordi ein omstart kan gjenbruke ei bufta økt.

Oppbevar det forhandla resultatet i utrullingsprotokollen ved sida av profilversjonen. Det er faktumet som svarer på det neste spørsmålet om kva kryptering som faktisk vernar trafikken.