OpenVPN наводи да је ncp-disable непознат: шта га је заменило?

Клијент одбија да се покрене са грешком у опцијама која помиње ncp-disable, а профил је радио на претходној машини. Та порука не значи да је опција погрешно написана или да је шифровање покварено. Она значи да бинарни фајл пред вама уопште не познаје ту директиву, а за то постоје два веома различита разлога. Који се примењује одређује да ли ћете уредити профил или променити клијента.

Грешка може доћи од новијег бинарног фајла

Грешка непризнате опције тиче се парсера, а не тунела. OpenVPN 2.4 додао је параметре шифровања о којима се може преговарати, 2.5 је прогласио застарелим прекидач који их је искључивао, а 2.6 га је потпуно уклонио. Зато профил написан за 2.3 или 2.4 не успева на тренутном клијенту, чак и ако се ништа у фајлу није променило. Верзија која се жали је новија, не старија.

Откријте која извршна датотека је произвела поруку пре него што било шта уредите. Десктоп клијент носи сопствени мотор, док засебно инсталирани бинарни фајл командне линије има своју верзију. Њих двоје могу да се не слажу на истој машини.

openvpn --version то решава за бинарни фајл који тестирате. GUI клијент можда не приказује ту команду, у том случају прочитајте његов екран о програму или верзију укључене библиотеке.

Шта је опција заправо контролисала

Директива је искључивала преговарање о криптографским параметрима, па су обе стране падале на старију селекцију вођену подешавањем cipher. Никада није искључила шифровање нити претворила тунел у обичан текст. Читање тога као безбедносног прекидача је прва погрешна кривина и води ка променама које везу чине лошијом, а не бољом.

Када преговарање постоји, еквивалентно питање је које је шифре свака страна спремна да користи. То је питање политике, а политика живи у data-ciphers од 2.5 надаље.

Старије име ncp-ciphers припада верзији 2.4. Мешање два имена међу странама чест је извор једносмерних неуспеха преговарања. Профил који носи оба је профил који су уређивале две особе у различито време.

Замените политику, не правопис

Поставите data-ciphers на обе стране са намераваним заједничким избором и држите листу довољно кратком да рецензент може да размишља о њој. Промена једне произвољне линије ништа не доказује; резултат зависи од пресека обе листе и од тога шта TLS стог подржава. Потврдите сагласност страна читајући преговарани резултат, а не конфигурацију. Затим упишите обе листе у запис о распоређивању да следећа промена почне из познатог стања.

Ажурирајте профил преко онога који га поседује. Додавање опције игнорисања да би се сакрила застарела директива оставља питање политике без одговора.

Ако старијој страни заиста треба руковање компатибилношћу, ограничите га на то распоређивање. Враћање застарелог понашања глобално није предуслов за повезивање савремених страна. Изузетак треба да именује страну за коју постоји.

Два реда која изгледају као листа шифара, али нису

Слагање два реда шифре такође не враћа преговарање, а резултат је профил који изгледа као листа, али се понаша као једна вредност. Ред са AES-256-CBC и следећи са CBC чест је покушај. CBC сам по себи именује режим, а не алгоритам, па парсер може да га прихвати на једном месту и одбије на следећем. Поновљене cipher директиве постављају исту опцију двапут уместо да акумулирају кандидате.

Проверите прихваћена имена помоћу openvpn --show-ciphers на циљном бинарном фајлу уместо да копирате листу из водича писаног за другу грану. Листа се мења између издања. Име важеће у једној грани није нужно важеће у другој.

Ако је циљ било поређење перформанси, запишите алгоритме и оптерећење. Прелазак на CBC није мерење одсуства шифровања.

Проверите шта је веза заправо преговарала

Подигните нову везу и прочитајте ред о каналу података у дневнику, који наводи шифру која се користи. Скуп контролног канала одређује се засебно, па дозвољена листа у фајлу показује само шта је понуђено. Када две стране изаберу нешто што нисте очекивали, листе су место где треба гледати, а не интерфејс тунела. Потврдите резултат на другој вези после сваке промене, јер једно поновно покретање може поново да искористи кеширану сесију.

Чувајте преговарани резултат у запису о распоређивању поред верзије профила. Управо тај податак одговара на следеће питање о томе која шифра заиста штити саобраћај.