Tunnelblick data-ciphers não reconhecido: qual motor estava em execução?

O Tunnelblick relata uma opção data-ciphers não reconhecida, menciona o OpenVPN 2.4 na mesma frase e a conexão nunca inicia. Trata-se de uma falha local de análise e não de um desacordo sobre a cifra, porque o motor rejeitou o perfil antes de qualquer negociação com o gateway acontecer. O conselho habitual sobre a política de cifras do servidor não pode ajudar aqui; o analisador precisa primeiro entender o arquivo. Identifique o motor que esta configuração concreta realmente iniciou, e o resto vem sozinho.

Leia a linha do log antes de tocar no perfil

Abra a conexão que falhou na janela de detalhes do Tunnelblick e leia o log desde o início. As primeiras linhas indicam a versão do motor e o perfil que lhe é entregue, seguidas da opção que parou a análise. Tudo o que vem depois é ruído, porque o processo já terminou.

Registe três factos desse log: a versão do motor, o nome da configuração e a mensagem exata. Esses três são todo o diagnóstico. São também o que vai precisar se a correção exigir alterar a aplicação instalada. Tire uma captura de ecrã das linhas em vez de as parafrasear, porque os nomes das opções escrevem-se mal com facilidade quando são repetidos de memória.

Confirme qual motor essa configuração executa

O Tunnelblick é uma aplicação construída em torno de um motor OpenVPN, e configurações diferentes podem executar motores diferentes. Verifique a versão selecionada para esta configuração na janela de detalhes em vez de ler a versão da aplicação, e não a substitua pela saída de um binário openvpn de terminal que a configuração nunca utiliza. O guia de versões do OpenVPN do Tunnelblick descreve como funciona essa seleção e onde a escolha é guardada.

A distinção importa porque uma máquina pode ter um binário moderno no PATH e um motor 2.4 incluído por trás da conexão que falhou. O perfil é avaliado pelo segundo.

openvpn --version
ls /Applications/Tunnelblick.app/Contents/Resources/openvpn/

Estes dois comandos mostram o que um terminal executaria e que diretórios de motores a aplicação instalada contém. Nenhum dos dois prova o que a configuração que falhou utilizou, já que o log lhe disse isso, e os caminhos diferem entre versões do Tunnelblick.

Porque é que o nome da diretiva mudou

OpenVPN introduziu data-ciphers como lista de negociação na 2.5, substituindo a grafia anterior ncp-ciphers que ficou obsoleta nessa versão. Um motor 2.4 não tem essa opção, por isso para no primeiro token que não conhece. A opção única cipher também não é um alias antigo da lista; nomeia uma única cifra em vez de um conjunto de negociação.

É por isso que a substituição de texto entre versões produz perfis que são analisados e depois se comportam de forma inesperada, e é por isso que copiar um fragmento de uma publicação de fórum não é uma verificação de versão. Os nomes das opções mudaram juntamente com o tratamento de reserva e os valores predefinidos, e um ficheiro montado renomeando uma diretiva não equivale a um escrito para o motor.

Corrija o motor ou o perfil, não o sintoma

Para uma implementação suportada, a reparação duradoura é uma combinação suportada de Tunnelblick e motor que aceite o perfil do operador, organizada através de quem possui a instalação da aplicação. Se uma instalação mais antiga tiver de ficar durante algum tempo, peça um perfil escrito para esse motor e para as cifras que o gateway aceita realmente.

Eliminar data-ciphers e data-ciphers-fallback elimina de facto este erro de análise concreto, e é exatamente por isso que é tentador. Também altera quais cifras são negociadas, em silêncio, numa configuração de segurança que não pretendia editar. Mantenha o perfil original e compare antes, de forma deliberada, as definições suportadas.

Tente novamente e leia a fase seguinte

Após a correção, tente novamente a conexão e leia o novo log desde o início em vez de assumir sucesso. Um perfil que agora é analisado ainda pode parar na negociação da cifra, na verificação do certificado, na autenticação ou no encaminhamento, e cada uma dessas falhas tem as suas próprias provas.

Se a negociação falhar, compare as cifras que ambos os pares suportam com as que cada um está configurado para permitir. Se a autenticação falhar, o perfil e o motor estão agora a funcionar suficientemente bem para terem chegado ao gateway, o que é um progresso que vale a pena registar. Parar essa cadeia no primeiro log silencioso é a forma como uma definição de segurança é removida pelo motivo errado.