Tunnelblick data-ciphers не распознан: какой движок работал?

Tunnelblick сообщает о нераспознанной опции data-ciphers, упоминает OpenVPN 2.4 в том же предложении, и подключение так и не запускается. Это локальный сбой разбора, а не разногласие по шифру, потому что движок отклонил профиль ещё до любых переговоров со шлюзом. Обычный совет о политике шифров сервера здесь не поможет; сначала разборщик должен понять файл. Найдите движок, который фактически запустила эта конфигурация, и остальное приложится.

Прочитайте строку журнала, прежде чем трогать профиль

Откройте неудачное подключение в окне подробностей Tunnelblick и читайте журнал сверху. Первые строки называют версию движка и профиль, который ему передаётся, а затем опцию, остановившую разбор. Всё после этого — шум, потому что процесс завершился.

Запишите три факта из этого журнала: версию движка, имя конфигурации и точное сообщение. Эти три — весь диагноз. Они же понадобятся, если окажется, что исправление требует изменить установленное приложение. Сделайте снимок экрана со строками, а не пересказывайте их, потому что имена опций легко напечатать с ошибкой, повторяя их по памяти.

Подтвердите, какой движок запускает эта конфигурация

Tunnelblick — это приложение, обёрнутое вокруг движка OpenVPN, и разные конфигурации могут запускать разные движки. Проверьте версию, выбранную для этой конфигурации, в окне подробностей, а не читайте версию приложения, и не подменяйте её выводом терминального двоичного файла openvpn, который конфигурация никогда не использует. Руководство по версиям OpenVPN от Tunnelblick описывает, как работает этот выбор и где он хранится.

Различие важно, потому что на машине может быть современный двоичный файл в PATH и встроенный движок 2.4 за неудачным подключением. Профиль оценивает второй.

openvpn --version
ls /Applications/Tunnelblick.app/Contents/Resources/openvpn/

Эти две команды показывают, что запустил бы терминал и какие каталоги движков несёт установленное приложение. Ни одна из них не доказывает, что использовала неудачная конфигурация, поскольку журнал уже сказал вам это, а пути различаются между выпусками Tunnelblick.

Почему изменилось имя директивы

OpenVPN ввёл data-ciphers как список переговоров в версии 2.5, заменив прежнее написание ncp-ciphers, которое устарело в этом выпуске. У движка 2.4 такой опции нет, поэтому он останавливается на первом незнакомом токене. Единственная опция cipher тоже не является старым псевдонимом списка; она называет один шифр, а не набор для переговоров.

Поэтому замена текста между версиями даёт профили, которые разбираются, а затем ведут себя неожиданно, и поэтому копирование фрагмента из сообщения на форуме не является проверкой версии. Имена опций сдвинулись вместе с обработкой запасных вариантов и значениями по умолчанию, а файл, собранный переименованием одной директивы, не эквивалентен файлу, написанному для этого движка.

Исправьте движок или профиль, а не симптом

Для поддерживаемого развёртывания долговечное исправление — это поддерживаемое сочетание Tunnelblick и движка, принимающее профиль оператора, организованное через того, кто владеет установкой приложения. Если старая установка должна остаться на время, попросите профиль, написанный для этого движка и для шифров, которые шлюз действительно принимает.

Удаление data-ciphers и data-ciphers-fallback действительно устраняет эту конкретную ошибку разбора, и именно поэтому это заманчиво. Оно также молча меняет, какие шифры будут согласованы, в конфигурации безопасности, которую вы не собирались редактировать. Сохраните исходный профиль и вместо этого осознанно сравните поддерживаемые параметры.

Повторите попытку и прочитайте следующий этап

После исправления повторите подключение и прочитайте новый журнал с начала, а не предполагайте успех. Профиль, который теперь разбирается, всё ещё может остановиться на согласовании шифра, на проверке сертификата, на аутентификации или на маршрутизации, и у каждого из этих сбоев есть свои доказательства.

Если согласование не удаётся, сравните шифры, которые поддерживают обе стороны, с теми, которые каждой разрешено использовать. Если аутентификация не удаётся, профиль и движок теперь работают достаточно хорошо, чтобы дойти до шлюза, и это прогресс, который стоит зафиксировать. Останавливать эту цепочку на первом тихом журнале — это способ удалить настройку безопасности по неверной причине.