Tunnelblick data-ciphers nerozpoznané: ktorý engine bežal?

Tunnelblick hlási nerozpoznanú voľbu data-ciphers, spomína OpenVPN 2.4 v tej istej vete a pripojenie sa nikdy nespustí. Ide o lokálne zlyhanie parsovania, nie o nezhodu šifier, pretože engine odmietol profil skôr, než došlo k akémukoľvek vyjednávaniu s bránou. Zvyčajná rada o šifrovej politike servera tu nepomôže; parser musí najprv porozumieť súboru. Nájdite engine, ktorý táto konfigurácia skutočne spustila, a zvyšok príde sám.

Prečítajte riadok z logu, skôr než sa dotknete profilu

Otvorte neúspešné pripojenie v okne podrobností Tunnelblick a čítajte log zhora. Prvé riadky uvádzajú verziu enginu a profil, ktorý sa mu odovzdáva, nasleduje voľba, ktorá parsovanie zastavila. Všetko po tomto bode je šum, pretože proces skončil.

Zapíšte si z toho logu tri skutočnosti: verziu enginu, názov konfigurácie a presnú správu. Tieto tri sú celá diagnóza. Budete ich potrebovať aj vtedy, ak sa ukáže, že oprava vyžaduje zmenu nainštalovanej aplikácie. Odfoťte riadky, namiesto toho, aby ste ich parafrázovali, pretože názvy volieb sa pri opakovaní z pamäti ľahko prepíšu nesprávne.

Overte, ktorý engine táto konfigurácia spúšťa

Tunnelblick je aplikácia obalená okolo enginu OpenVPN a rôzne konfigurácie môžu spúšťať rôzne enginy. Skontrolujte verziu vybranú pre túto konfiguráciu v okne podrobností, namiesto čítania verzie aplikácie, a nenahrádzajte ju výstupom terminálového binárneho súboru openvpn, ktorý konfigurácia nikdy nepoužíva. Sprievodca verziami OpenVPN od Tunnelblick opisuje, ako tento výber funguje a kde sa voľba ukladá.

Rozdiel je dôležitý, pretože stroj môže mať moderný binárny súbor v PATH a zabudovaný engine 2.4 za neúspešným pripojením. Profil vyhodnocuje ten druhý.

openvpn --version
ls /Applications/Tunnelblick.app/Contents/Resources/openvpn/

Tieto dva príkazy ukazujú, čo by spustil terminál a aké adresáre enginov nainštalovaná aplikácia obsahuje. Ani jeden nedokazuje, čo neúspešná konfigurácia použila, keďže log vám to už povedal, a cesty sa medzi vydaniami Tunnelblick líšia.

Prečo sa zmenil názov direktívy

OpenVPN zaviedol data-ciphers ako zoznam na vyjednávanie vo verzii 2.5 a nahradil skorší zápis ncp-ciphers, ktorý sa v tomto vydaní stal zastaraným. Engine 2.4 takúto voľbu nemá, takže sa zastaví na prvom tokene, ktorý nepozná. Ani samostatná voľba cipher nie je starším aliasom zoznamu; pomenúva jeden šifier, nie vyjednávaciu množinu.

Preto nahradenie textu medzi verziami vytvára profily, ktoré sa naparsujú a potom sa správajú nečakane, a preto skopírovanie úryvku z príspevku na fóre nie je kontrola verzie. Názvy volieb sa posunuli spolu s ošetrením záložných hodnôt a predvolenými hodnotami a súbor zložený premenovaním jednej direktívy nie je ekvivalentný súboru napísanému pre daný engine.

Opravte engine alebo profil, nie príznak

Pre podporované nasadenie je trvalou opravou podporovaná kombinácia Tunnelblick a enginu, ktorá prijíma profil operátora, zariadená cez toho, kto vlastní inštaláciu aplikácie. Ak musí staršia inštalácia nejaký čas zostať, požiadajte o profil napísaný pre tento engine a pre šifry, ktoré brána skutočne prijíma.

Vymazanie data-ciphers a data-ciphers-fallback túto konkrétnu chybu parsovania skutočne odstráni, a práve preto je to lákavé. Mení tiež, ktoré šifry sa budú vyjednávať, a to potichu, v bezpečnostnej konfigurácii, ktorú ste nechceli upravovať. Ponechajte pôvodný profil a namiesto toho podporované nastavenia vedome porovnajte.

Skúste to znova a prečítajte ďalšiu fázu

Po oprave skúste pripojenie znova a čítajte nový log od začiatku, namiesto toho, aby ste predpokladali úspech. Profil, ktorý sa teraz naparsuje, sa stále môže zastaviť pri vyjednávaní šifry, pri overovaní certifikátu, pri autentifikácii alebo pri smerovaní, a každé z týchto zlyhaní má svoj vlastný dôkaz.

Ak vyjednávanie zlyhá, porovnajte šifry, ktoré podporujú obe strany, s tými, ktoré má každá povolené. Ak autentifikácia zlyhá, profil a engine teraz fungujú dosť dobre na to, aby dosiahli bránu, čo je pokrok, ktorý stojí za zaznamenanie. Zastavenie tohto reťazca pri prvom tichom logu je spôsob, akým sa bezpečnostné nastavenie odstráni z nesprávneho dôvodu.