OpenVPN sporoča, da je ncp-disable neznan: kaj ga je nadomestilo?

Odjemalec noče začeti z napako možnosti, ki navaja ncp-disable, čeprav je profil deloval na prejšnjem računalniku. To sporočilo ne pomeni, da je možnost napačno zapisana ali da je šifriranje pokvarjeno. Pomeni, da binarna datoteka pred vami te direktive sploh ne pozna, za to pa obstajata dva zelo različna razloga. Kateri velja, odloča, ali boste uredili profil ali zamenjali odjemalca.

Napaka lahko pride iz novejše binarne datoteke

Napaka neznane možnosti zadeva razčlenjevalnik, ne tunela. OpenVPN 2.4 je dodal dogovorljive parametre šifriranja, 2.5 je stikalo, ki jih je izklapljalo, razglasil za zastarelo, 2.6 pa ga je popolnoma odstranil. Zato profil, napisan za 2.3 ali 2.4, spodleti na sedanjem odjemalcu, tudi če se v datoteki ni nič spremenilo. Različica, ki se pritožuje, je novejša, ne starejša.

Ugotovite, katera izvršljiva datoteka je ustvarila sporočilo, preden karkoli uredite. Namizni odjemalec prinaša svoj motor, medtem ko ima ločeno nameščena binarna datoteka ukazne vrstice svojo različico. Oba se na istem računalniku lahko razhajata.

openvpn --version to razreši za binarno datoteko, ki jo preizkušate. Odjemalec z GUI morda ne prikaže tega ukaza; v tem primeru preberite njegov zaslon o programu ali različico priložene knjižnice.

Kaj je možnost v resnici nadzorovala

Direktiva je izklopila dogovarjanje o kriptografskih parametrih, zato sta se oba konca vrnila k starejšemu vedenju izbire, ki ga je vodila nastavitev cipher. Nikoli ni izklopila šifriranja in tunela ni nikoli spremenila v golo besedilo. Brati jo kot varnostno stikalo je prvi napačni zasuk in vodi v spremembe, ki povezavo poslabšajo namesto izboljšajo.

Ko dogovarjanje obstaja, je enakovredno vprašanje, katere šifre je vsaka stran pripravljena uporabljati. To je vprašanje politike, politika pa živi v data-ciphers od različice 2.5.

Starejše ime ncp-ciphers pripada 2.4. Mešanje obeh imen med stranema je pogost vir enosmernih neuspehov dogovarjanja. Profil, ki nosi oba, je profil, ki sta ga urejali dve osebi ob različnih časih.

Zamenjajte politiko, ne črkovanja

Nastavite data-ciphers na obeh straneh z nameravano skupno izbiro in ohranite seznam dovolj kratek, da lahko recenzent o njem razmišlja. Spreminjanje ene poljubne vrstice ne dokaže ničesar; izid je odvisen od preseka obeh seznamov in od tega, kaj podpira sklad TLS. Potrdite soglasje strani z branjem dogovorjenega izida, ne konfiguracije. Nato oba seznama vpišite v zapis o uvajanju, da se naslednja sprememba začne iz znanega stanja.

Posodobite profil prek tistega, ki ga ima v lasti. Dodajanje možnosti prezrtja, da bi skrili zastarelo direktivo, pusti vprašanje politike brez odgovora.

Če starejša stran res potrebuje obravnavo združljivosti, jo omejite na to uvajanje. Obnavljanje zastarelega vedenja globalno ni pogoj za povezovanje sodobnih strani. Izjema bi morala imenovati stran, za katero obstaja.

Dve vrstici, ki izgledata kot seznam šifer, pa nista

Zlaganje dveh vrstic šifre tudi ne obnovi dogovarjanja, rezultat pa je profil, ki izgleda kot seznam, a se obnaša kot ena vrednost. Vrstica z AES-256-CBC in naslednja s CBC je pogost poskus. CBC samo po sebi poimenuje način, ne algoritma, zato ga razčlenjevalnik lahko sprejme na enem mestu in zavrne na naslednjem. Ponovljene direktive cipher nastavijo isto možnost dvakrat, namesto da bi kopičile kandidate.

Preverite sprejeta imena z openvpn --show-ciphers na ciljni binarni datoteki, namesto da bi kopirali seznam iz vodnika, napisanega za drugo vejo. Seznam se med izdajami spreminja. Ime, veljavno v eni veji, ni nujno veljavno v drugi.

Če je bil cilj primerjava zmogljivosti, zapišite algoritme in obremenitev. Prehod na CBC ni merjenje odsotnosti šifriranja.

Preverite, kaj je povezava v resnici dogovorila

Vzpostavite novo povezavo in preberite vrstico podatkovnega kanala v dnevniku, ki navaja uporabljeno šifro. Nabor krmilnega kanala se odloči ločeno, zato dovoljeni seznam v datoteki prikazuje le, kaj je bilo ponujeno. Ko sta strani izbrali nekaj, česar niste pričakovali, je treba gledati sezname, ne vmesnik tunela. Izid potrdite na drugi povezavi po vsaki spremembi, ker lahko en ponovni zagon znova uporabi predpomnjeno sejo.

Hranite dogovorjeni izid v zapisu o uvajanju ob različici profila. Prav to dejstvo odgovarja na naslednje vprašanje, katera šifra resnično ščiti promet.