Tunnelblick data-ciphers nerecunoscut: care motor rula?

Tunnelblick raportează o opțiune data-ciphers nerecunoscută, menționează OpenVPN 2.4 în aceeași frază, iar conexiunea nu pornește niciodată. Aceasta este o defecțiune locală de analiză, nu o neînțelegere privind cifrarea, deoarece motorul a respins profilul înainte de a avea loc orice negociere cu gateway-ul. Sfatul obișnuit despre politica de cifrare a serverului nu poate ajuta aici; analizatorul trebuie mai întâi să înțeleagă fișierul. Găsiți motorul pe care această configurație l-a pornit efectiv, iar restul urmează.

Citiți linia din jurnal înainte de a atinge profilul

Deschideți conexiunea eșuată în fereastra de detalii a Tunnelblick și citiți jurnalul de la început. Primele linii indică versiunea motorului și profilul care îi este predat, urmate de opțiunea care a oprit analiza. Tot ce urmează este zgomot, deoarece procesul s-a încheiat.

Notați trei fapte din acel jurnal: versiunea motorului, numele configurației și mesajul exact. Acestea trei sunt întregul diagnostic. Sunt și ceea ce veți avea nevoie dacă reparația se dovedește a necesita schimbarea aplicației instalate. Faceți o captură de ecran a liniilor în loc să le parafrazați, deoarece numele opțiunilor se tastează ușor greșit când sunt repetate din memorie.

Confirmați ce motor rulează acea configurație

Tunnelblick este o aplicație construită în jurul unui motor OpenVPN, iar configurații diferite pot rula motoare diferite. Verificați versiunea selectată pentru această configurație în fereastra de detalii în loc să citiți versiunea aplicației, și nu o înlocuiți cu rezultatul unui binar openvpn de terminal pe care configurația nu îl folosește niciodată. Ghidul versiunilor OpenVPN al Tunnelblick descrie cum funcționează această selecție și unde este stocată alegerea.

Distincția contează pentru că o mașină poate avea un binar modern în PATH și un motor 2.4 inclus în spatele conexiunii care a eșuat. Profilul este evaluat de al doilea.

openvpn --version
ls /Applications/Tunnelblick.app/Contents/Resources/openvpn/

Aceste două comenzi arată ce ar rula un terminal și ce directoare de motoare are aplicația instalată. Niciuna nu dovedește ce a folosit configurația eșuată, deoarece jurnalul v-a spus deja acest lucru, iar căile diferă între versiunile Tunnelblick.

De ce s-a schimbat numele directivei

OpenVPN a introdus data-ciphers ca listă de negociere în 2.5, înlocuind ortografia anterioară ncp-ciphers care a devenit învechită în acea versiune. Un motor 2.4 nu are această opțiune, așa că se oprește la primul token pe care nu îl cunoaște. Nici opțiunea unică cipher nu este un alias mai vechi pentru listă; numește o singură cifrare în loc de un set de negociere.

De aceea înlocuirea textului între versiuni produce profiluri care se analizează și apoi se comportă neașteptat, și de aceea copierea unui fragment dintr-o postare de forum nu este o verificare a versiunii. Numele opțiunilor s-au mutat împreună cu gestionarea valorilor de rezervă și cu valorile implicite, iar un fișier alcătuit prin redenumirea unei directive nu este echivalent cu unul scris pentru motor.

Reparați motorul sau profilul, nu simptomul

Pentru o implementare acceptată, reparația durabilă este o combinație acceptată de Tunnelblick și motor care acceptă profilul operatorului, organizată prin cel care deține instalarea aplicației. Dacă o instalare mai veche trebuie să rămână o vreme, cereți un profil scris pentru acel motor și pentru cifrările pe care gateway-ul le acceptă efectiv.

Ștergerea data-ciphers și data-ciphers-fallback elimină într-adevăr această eroare de analiză anume, și exact de aceea este tentantă. De asemenea, schimbă în tăcere ce cifrări sunt negociate, într-o configurație de securitate pe care nu intenționați să o editați. Păstrați profilul original și comparați în schimb în mod deliberat setările acceptate.

Încercați din nou și citiți etapa următoare

După corectare, încercați din nou conexiunea și citiți noul jurnal de la început în loc să presupuneți succesul. Un profil care acum se analizează se poate opri totuși la negocierea cifrării, la verificarea certificatului, la autentificare sau la rutare, iar fiecare dintre aceste eșecuri are propriile dovezi.

Dacă negocierea eșuează, comparați cifrările pe care le acceptă ambele părți cu cele permise fiecăreia. Dacă autentificarea eșuează, profilul și motorul funcționează acum suficient de bine încât să fi ajuns la gateway, ceea ce este un progres demn de consemnat. Oprirea acelui lanț la primul jurnal silențios este modul în care o setare de securitate este eliminată din motivul greșit.