OpenVPN thotë se ncp-disable është i panjohur: çfarë e zëvendësoi?

Klienti refuzon të nisë me një gabim opsionesh që përmend ncp-disable, ndërsa profili funksiononte në makinën e mëparshme. Ky mesazh nuk do të thotë se opsioni është shkruar gabim ose se kriptimi është prishur. Do të thotë se binari përpara jush nuk e njeh fare direktivën, dhe për këtë ka dy arsye shumë të ndryshme. Cila vlen vendos nëse redaktoni profilin apo ndërroni klientin.

Gabimi mund të vijë nga një binar më i ri

Një gabim opsioni të panjohur ka të bëjë me analizuesin, jo me tunelin. OpenVPN 2.4 shtoi parametra kriptimi të negociueshëm, 2.5 shpalli të vjetëruar çelësin që i çaktivizonte, dhe 2.6 e hoqi plotësisht. Prandaj një profil i shkruar për 2.3 ose 2.4 dështon në një klient aktual edhe pse asgjë në skedar nuk ka ndryshuar. Versioni që ankohet është më i ri, jo më i vjetër.

Zbuloni cili ekzekutues e prodhoi mesazhin përpara se të redaktoni ndonjë gjë. Një klient desktop sjell motorin e vet, ndërsa një binar i linjës së komandës i instaluar veçmas ka versionin e vet. Të dy mund të nuk pajtohen në të njëjtën makinë.

openvpn --version e zgjidh këtë për binarin që po testoni. Një klient me GUI mund të mos e shfaqë atë komandë; në atë rast lexoni ekranin e informacionit ose versionin e bibliotekës së përfshirë.

Çfarë kontrollonte vërtet opsioni

Direktiva çaktivizonte negociimin e parametrave kriptografikë, kështu që të dy skajet ktheheshin në sjellje më të vjetër përzgjedhjeje të drejtuar nga cilësimi cipher. Nuk e çaktivizoi kurrë kriptimin dhe nuk e shndërroi kurrë tunelin në tekst të thjeshtë. Ta lexosh si një çelës sigurie është kthesa e parë e gabuar, dhe kjo çon në ndryshime që e përkeqësojnë lidhjen në vend që ta përmirësojnë.

Pasi ekziston negociimi, pyetja ekuivalente është cilat kriptime është i gatshëm të përdorë secila palë. Është çështje politike, dhe politika jeton në data-ciphers nga 2.5 e tutje.

Emri më i vjetër ncp-ciphers i përket 2.4. Përzierja e dy emrave midis palëve është një burim i zakonshëm i dështimeve të negociimit në një drejtim. Një profil që mban të dy është një profil i redaktuar nga dy persona në kohë të ndryshme.

Zëvendësoni politikën, jo drejtshkrimin

Vendosni data-ciphers në të dy palët me një zgjedhje të përbashkët të synuar dhe mbajeni listën aq të shkurtër sa një recensent të mund të arsyetojë mbi të. Ndryshimi i një rreshti arbitrar nuk provon asgjë; rezultati varet nga kryqëzimi i dy listave dhe nga ajo që mbështet stiva TLS. Konfirmoni pajtimin e palëve duke lexuar rezultatin e negociuar, jo konfigurimin. Pastaj shkruani të dyja listat në regjistrin e vendosjes, që ndryshimi i radhës të nisë nga një gjendje e njohur.

Përditësoni profilin përmes atij që e zotëron. Shtimi i një opsioni shpërfilljeje për të fshehur një direktivë të vjetëruar e lë pyetjen e politikës pa përgjigje.

Nëse një palë më e vjetër ka vërtet nevojë për trajtim përputhshmërie, kufizojeni atë në atë vendosje. Rivendosja globale e sjelljes së vjetëruar nuk është parakusht për të lidhur palë moderne. Përjashtimi duhet të emërojë palën për të cilën ekziston.

Dy rreshta që duken si listë kriptimesh por nuk janë

Stivosja e dy rreshtave kriptimi nuk e riktheu negociimin as këtu, dhe rezultati është një profil që duket si listë ndërsa sillet si një vlerë e vetme. Një rresht me AES-256-CBC dhe tjetri me CBC është një përpjekje e zakonshme. CBC vetëm emërton një modalitet, jo një algoritëm, kështu që analizuesi mund ta pranojë në një vend dhe ta refuzojë në tjetrin. Direktivat cipher të përsëritura vendosin të njëjtin opsion dy herë në vend që të grumbullojnë kandidatë.

Kontrolloni emrat e pranuar me openvpn --show-ciphers në binarin e synuar në vend që të kopjoni një listë nga një udhëzues i shkruar për një degë tjetër. Lista ndryshon midis versioneve. Një emër i vlefshëm në një degë nuk është domosdoshmërisht i vlefshëm në tjetrën.

Nëse qëllimi ishte krahasimi i performancës, shënoni algoritmet dhe ngarkesën e punës. Kalimi në CBC nuk është matje e mungesës së kriptimit.

Kontrolloni se çfarë negocioi vërtet lidhja

Ngrini një lidhje të re dhe lexoni rreshtin e kanalit të të dhënave në regjistër, i cili emërton kriptimin në përdorim. Suita e kanalit të kontrollit vendoset veçmas, kështu që lista e lejuar në skedar tregon vetëm atë që u ofrua. Kur të dy palët zgjodhën diçka që nuk e prisnit, listat janë vendi ku duhet të shikoni, jo ndërfaqja e tunelit. Konfirmoni rezultatin në një lidhje të dytë pas çdo ndryshimi, sepse një rinisje mund të ripërdorë një sesion të ruajtur në cache.

Mbani rezultatin e negociuar në regjistrin e vendosjes pranë versionit të profilit. Ky është fakti që i përgjigjet pyetjes së radhës se cili kriptim po mbron vërtet trafikun.