OpenVPN diz que ncp-disable é desconhecido: o que o substituiu?

O cliente recusa iniciar com um erro de opções que nomeia ncp-disable, embora o perfil funcionasse na máquina anterior. Essa mensagem não significa que a opção está mal escrita nem que a cifragem está quebrada. Significa que o binário à sua frente não conhece a diretiva de forma alguma, e há dois motivos muito diferentes para isso. Qual se aplica decide se você edita o perfil ou troca o cliente.

O erro pode vir de um binário mais novo

Um erro de opção não reconhecida diz respeito ao analisador, não ao túnel. OpenVPN 2.4 adicionou parâmetros de cifragem negociáveis, a 2.5 declarou obsoleto o interruptor que os desativava e a 2.6 o removeu por completo. Por isso um perfil escrito para a 2.3 ou a 2.4 falha num cliente atual mesmo que nada no arquivo tenha mudado. A versão que reclama é mais nova, não mais antiga.

Descubra qual executável produziu a mensagem antes de editar qualquer coisa. Um cliente de desktop traz o próprio motor, enquanto um binário de linha de comando instalado à parte tem a sua própria versão. Os dois podem discordar na mesma máquina.

openvpn --version resolve isso para o binário que você testa. Um cliente com GUI pode não expor esse comando; nesse caso, leia a tela de informações ou a versão da biblioteca incluída.

O que a opção realmente controlava

A diretiva desativava a negociação de parâmetros criptográficos, de modo que ambas as pontas voltavam a um comportamento de seleção mais antigo governado pela configuração cipher. Nunca desativou a cifragem nem transformou o túnel em texto simples. Lê-la como um interruptor de segurança é a primeira curva errada, e isso leva a mudanças que pioram a conexão em vez de melhorá-la.

Uma vez que a negociação existe, a pergunta equivalente é quais cifras cada lado está disposto a usar. É uma questão de política, e a política vive em data-ciphers a partir da 2.5.

O nome mais antigo ncp-ciphers pertence à 2.4. Misturar os dois nomes entre pares é uma fonte comum de falhas de negociação num só sentido. Um perfil que carrega ambos é um perfil editado por duas pessoas em momentos diferentes.

Substitua a política, não a ortografia

Defina data-ciphers nos dois pares com uma escolha partilhada pretendida e mantenha a lista curta o bastante para que um revisor possa raciocinar sobre ela. Mudar uma linha arbitrária não prova nada; o resultado depende da interseção das duas listas e do que a pilha TLS suporta. Confirme o acordo dos pares lendo o resultado negociado em vez da configuração. Depois registe as duas listas no registo de implantação para que a mudança seguinte parta de um estado conhecido.

Atualize o perfil através de quem o possui. Acrescentar uma opção de ignorar para esconder uma diretiva obsoleta deixa a questão de política sem resposta.

Se um par mais antigo precisa realmente de tratamento de compatibilidade, limite-o a essa implantação. Restaurar globalmente um comportamento obsoleto não é pré-requisito para ligar pares modernos. A exceção deve nomear o par para o qual existe.

Duas linhas que parecem uma lista de cifras mas não são

Empilhar duas linhas de cifra também não restaura a negociação, e o resultado é um perfil que parece uma lista enquanto se comporta como um único valor. Uma linha com AES-256-CBC e a seguinte com CBC é uma tentativa comum. CBC por si só nomeia um modo, não um algoritmo, por isso um analisador pode aceitá-lo numa posição e rejeitá-lo na seguinte. Diretivas cipher repetidas definem a mesma opção duas vezes em vez de acumular candidatos.

Verifique os nomes aceites com openvpn --show-ciphers no binário de destino em vez de copiar uma lista de um guia escrito para outro ramo. A lista muda entre versões. Um nome válido num ramo não é necessariamente válido no outro.

Se o objetivo era comparar desempenho, registe os algoritmos e a carga de trabalho. Passar para CBC não é uma medida de ausência de cifragem.

Verifique o que a ligação realmente negociou

Estabeleça uma nova ligação e leia a linha do canal de dados no registo, que nomeia a cifra em uso. O conjunto do canal de controlo é decidido em separado, por isso a lista permitida no ficheiro mostra apenas o que foi oferecido. Quando os dois pares escolheram algo que não esperava, as listas são o sítio onde olhar, não a interface do túnel. Confirme o resultado numa segunda ligação após qualquer alteração, porque um reinício pode reutilizar uma sessão em cache.

Guarde o resultado negociado no registo de implantação ao lado da versão do perfil. É esse o facto que responde à pergunta seguinte sobre qual cifra protege realmente o tráfego.