OpenVPN hlási, že ncp-disable je neznámy: čím bol nahradený?

Klient odmieta naštartovať s chybou volieb, ktorá uvádza ncp-disable, hoci profil fungoval na predchádzajúcom počítači. Táto správa neznamená, že voľba je napísaná nesprávne alebo že šifrovanie je pokazené. Znamená, že binárny súbor pred vami tú direktívu vôbec nepozná, a má to dva veľmi odlišné dôvody. Ktorý platí, rozhoduje o tom, či upravíte profil, alebo zmeníte klienta.

Chyba môže pochádzať z novšieho binárneho súboru

Chyba nerozpoznanej voľby sa týka parsera, nie tunela. OpenVPN 2.4 pridal vyjednávateľné parametre šifry, 2.5 označil prepínač, ktorý ich vypínal, za zastaraný a 2.6 ho úplne odstránil. Preto profil napísaný pre 2.3 alebo 2.4 zlyhá na súčasnom klientovi, aj keď sa v súbore nič nezmenilo. Verzia, ktorá sa sťažuje, je novšia, nie staršia.

Zistite, ktorý spustiteľný súbor správu vyvolal, skôr než čokoľvek upravíte. Desktopový klient nesie vlastný engine, zatiaľ čo samostatne nainštalovaný binárny súbor príkazového riadka má vlastnú verziu. Oba sa môžu na tom istom počítači rozchádzať.

openvpn --version to pre testovaný binárny súbor vyrieši. Klient s GUI tento príkaz možno nezobrazuje; v takom prípade si prečítajte jeho obrazovku O aplikácii alebo verziu pribalenej knižnice.

Čo voľba skutočne ovládala

Direktíva vypínala vyjednávanie kryptografických parametrov, takže oba konce prešli na staršie správanie výberu riadené nastavením cipher. Nikdy nevypnula šifrovanie a nikdy nezmenila tunel na čistý text. Čítať ju ako bezpečnostný prepínač je prvý nesprávny krok a vedie k zmenám, ktoré spojenie skôr zhoršia než zlepšia.

Keď vyjednávanie existuje, ekvivalentná otázka znie, ktoré šifry je každá strana ochotná použiť. Je to otázka politiky a politika žije v data-ciphers od verzie 2.5.

Starší názov ncp-ciphers patrí k 2.4. Miešanie oboch názvov medzi stranami je častý zdroj jednostranných zlyhaní vyjednávania. Profil, ktorý nesie oba, je profil upravený dvoma ľuďmi v rôznych časoch.

Nahraďte politiku, nie pravopis

Nastavte data-ciphers na oboch stranách so zamýšľanou spoločnou voľbou a držte zoznam tak krátky, aby o ňom recenzent mohol uvažovať. Zmena jedného ľubovoľného riadka nič nedokazuje; výsledok závisí od prieniku oboch zoznamov a od toho, čo podporuje stack TLS. Potvrďte zhodu strán čítaním vyjednaného výsledku, nie konfigurácie. Potom zapíšte oba zoznamy do záznamu o nasadení, aby ďalšia zmena začala zo známeho stavu.

Aktualizujte profil prostredníctvom toho, kto ho vlastní. Pridanie voľby ignorovať, ktorá má skryť zastaranú direktívu, necháva otázku politiky nezodpovedanú.

Ak staršia strana naozaj potrebuje ošetrenie kompatibility, obmedzte ho na toto nasadenie. Obnovenie zastaraného správania globálne nie je predpokladom na prepojenie moderných strán. Výnimka by mala pomenovať stranu, pre ktorú existuje.

Dva riadky, ktoré vyzerajú ako zoznam šifier, ale nie sú

Skladanie dvoch riadkov šifry tiež neobnoví vyjednávanie a výsledkom je profil, ktorý vyzerá ako zoznam, ale správa sa ako jedna hodnota. Riadok s AES-256-CBC a nasledujúci s CBC je častý pokus. CBC samo o sebe označuje režim, nie algoritmus, takže ho parser môže na jednom mieste prijať a na ďalšom odmietnuť. Opakované direktívy cipher nastavujú tú istú voľbu dvakrát namiesto hromadenia kandidátov.

Prijímané názvy overujte pomocou openvpn --show-ciphers na cieľovom binárnom súbore namiesto kopírovania zoznamu z návodu písaného pre inú vetvu. Zoznam sa medzi vydaniami mení. Názov platný v jednej vetve nemusí byť platný v druhej.

Ak bolo cieľom porovnanie výkonu, zaznamenajte algoritmy a záťaž. Prechod na CBC nie je meraním toho, že šifrovanie chýba.

Skontrolujte, čo spojenie skutočne vyjednalo

Nadviažte nové spojenie a prečítajte riadok dátového kanála v logu, ktorý uvádza používanú šifru. Sada riadiaceho kanála sa rozhoduje zvlášť, takže povolený zoznam v súbore ukazuje len to, čo bolo ponúknuté. Keď obe strany zvolili niečo, čo ste nečakali, hľadajte v zoznamoch, nie v rozhraní tunela. Výsledok potvrďte na druhom spojení po každej zmene, pretože jedno reštartovanie môže znova použiť uloženú reláciu.

Uchovávajte vyjednaný výsledok v zázname o nasadení vedľa verzie profilu. Práve tento údaj odpovedá na ďalšiu otázku, ktorá šifra prevádzku skutočne chráni.