Tunnelblick data-ciphers nierozpoznane: który silnik działał?

Tunnelblick zgłasza nieznaną opcję data-ciphers, wspomina OpenVPN 2.4 w tym samym zdaniu, a połączenie nigdy się nie rozpoczyna. To lokalny błąd analizy, a nie spór o szyfr, ponieważ silnik odrzucił profil, zanim doszło do jakichkolwiek negocjacji z bramą. Zwykła porada dotycząca polityki szyfrów serwera tu nie pomoże; parser musi najpierw zrozumieć plik. Znajdź silnik, który ta konkretna konfiguracja rzeczywiście uruchomiła, a reszta się ułoży.

Przeczytaj wiersz dziennika, zanim dotkniesz profilu

Otwórz nieudane połączenie w oknie szczegółów Tunnelblicka i czytaj dziennik od góry. Pierwsze wiersze podają wersję silnika i profil, który jest mu przekazywany, a następnie opcję, która zatrzymała analizę. Wszystko po tym punkcie to szum, ponieważ proces zakończył się.

Zapisz trzy fakty z tego dziennika: wersję silnika, nazwę konfiguracji i dokładny komunikat. Te trzy to cała diagnoza. Będą też potrzebne, jeśli okaże się, że poprawka wymaga zmiany zainstalowanej aplikacji. Zrób zrzut ekranu wierszy zamiast je parafrazować, ponieważ nazwy opcji łatwo wpisać błędnie, gdy powtarza się je z pamięci.

Potwierdź, który silnik uruchamia ta konfiguracja

Tunnelblick to aplikacja opakowana wokół silnika OpenVPN, a różne konfiguracje mogą uruchamiać różne silniki. Sprawdź wersję wybraną dla tej konfiguracji w oknie szczegółów, zamiast czytać wersję aplikacji, i nie zastępuj jej wyjściem terminalowego pliku binarnego openvpn, którego konfiguracja nigdy nie używa. Przewodnik po wersjach OpenVPN Tunnelblicka opisuje, jak działa ten wybór i gdzie jest przechowywany.

Różnica ma znaczenie, ponieważ maszyna może mieć nowoczesny plik binarny w PATH i dołączony silnik 2.4 za połączeniem, które zawiodło. Profil ocenia ten drugi.

openvpn --version
ls /Applications/Tunnelblick.app/Contents/Resources/openvpn/

Te dwa polecenia pokazują, co uruchomiłby terminal i jakie katalogi silników ma zainstalowana aplikacja. Żadne z nich nie dowodzi, czego użyła nieudana konfiguracja, ponieważ dziennik już to powiedział, a ścieżki różnią się między wydaniami Tunnelblicka.

Dlaczego zmieniła się nazwa dyrektywy

OpenVPN wprowadził data-ciphers jako listę negocjacyjną w wersji 2.5, zastępując wcześniejszą pisownię ncp-ciphers, która w tym wydaniu stała się przestarzała. Silnik 2.4 nie ma takiej opcji, więc zatrzymuje się na pierwszym nieznanym tokenie. Sama opcja cipher też nie jest starszym aliasem listy; nazywa jeden szyfr, a nie zbiór negocjacyjny.

Dlatego podmiana tekstu między wersjami daje profile, które się analizują, a potem zachowują się nieoczekiwanie, i dlatego skopiowanie fragmentu z postu na forum nie jest sprawdzeniem wersji. Nazwy opcji przesunęły się wraz z obsługą wartości zapasowych i domyślnych, a plik złożony przez zmianę nazwy jednej dyrektywy nie jest równoważny plikowi napisanemu dla silnika.

Napraw silnik albo profil, nie objaw

W przypadku obsługiwanego wdrożenia trwałą naprawą jest obsługiwane połączenie Tunnelblicka i silnika, które akceptuje profil operatora, uzgodnione przez osobę odpowiedzialną za instalację aplikacji. Jeśli starsza instalacja musi zostać na jakiś czas, poproś o profil napisany dla tego silnika i dla szyfrów, które brama rzeczywiście akceptuje.

Usunięcie data-ciphers i data-ciphers-fallback rzeczywiście usuwa ten konkretny błąd analizy i właśnie dlatego jest kuszące. Zmienia też po cichu, które szyfry będą negocjowane, w konfiguracji bezpieczeństwa, której nie zamierzałeś edytować. Zachowaj oryginalny profil i zamiast tego świadomie porównaj obsługiwane ustawienia.

Spróbuj ponownie i przeczytaj następny etap

Po poprawce ponów próbę połączenia i przeczytaj nowy dziennik od początku, zamiast zakładać sukces. Profil, który teraz się analizuje, nadal może zatrzymać się na negocjacji szyfru, na weryfikacji certyfikatu, na uwierzytelnianiu lub na trasowaniu, a każda z tych awarii ma własne dowody.

Jeśli negocjacja się nie powiedzie, porównaj szyfry obsługiwane przez obie strony z tymi, które każda może dopuścić. Jeśli uwierzytelnianie się nie powiedzie, profil i silnik działają teraz wystarczająco dobrze, by dotrzeć do bramy, co jest postępem wartym odnotowania. Zatrzymanie tego łańcucha na pierwszym cichym dzienniku to sposób, w jaki ustawienie bezpieczeństwa zostaje usunięte z niewłaściwego powodu.