Tunnelblick data-ciphers okänt: vilken motor körde?

Tunnelblick rapporterar ett okänt data-ciphers-alternativ, nämner OpenVPN 2.4 i samma andetag, och anslutningen startar aldrig. Det här är ett lokalt tolkningsfel och inte en oenighet om chiffret, eftersom motorn avvisade profilen innan någon förhandling med gatewayen ägde rum. Det vanliga rådet om serverns chifferpolicy kan inte hjälpa här; tolken måste först förstå filen. Hitta motorn som just den här konfigurationen faktiskt startade, och resten följer.

Läs loggrader innan du rör profilen

Öppna den misslyckade anslutningen i Tunnelblicks detaljfönster och läs loggen uppifrån. De första raderna anger motorversionen och profilen som lämnas till den, följt av alternativet som stoppade tolkningen. Allt efter det är brus, eftersom processen har avslutats.

Anteckna tre fakta från den loggen: motorversionen, konfigurationsnamnet och det exakta meddelandet. De tre är hela diagnosen. De är också det du behöver om det visar sig att rättelsen kräver att det installerade programmet ändras. Ta en skärmbild av raderna i stället för att återge dem, eftersom alternativnamn lätt skrivs fel när de upprepas ur minnet.

Bekräfta vilken motor den konfigurationen kör

Tunnelblick är ett program som är byggt kring en OpenVPN-motor, och olika konfigurationer kan köra olika motorer. Kontrollera versionen som valts för den här konfigurationen i detaljfönstret i stället för att läsa programversionen, och byt inte ut det mot utdata från en terminal openvpn-binär som konfigurationen aldrig använder. Guiden för OpenVPN-versioner från Tunnelblick beskriver hur det valet fungerar och var valet lagras.

Skillnaden spelar roll eftersom en maskin kan ha en modern binär i PATH och en medföljande 2.4-motor bakom anslutningen som misslyckades. Profilen bedöms av den andra.

openvpn --version
ls /Applications/Tunnelblick.app/Contents/Resources/openvpn/

De här två kommandona visar vad en terminal skulle köra och vilka motormappar det installerade programmet har. Ingen av dem bevisar vad den misslyckade konfigurationen använde, eftersom loggen redan har berättat det för dig, och sökvägarna skiljer sig mellan Tunnelblick-utgåvor.

Varför direktivnamnet ändrades

OpenVPN införde data-ciphers som förhandlingslistan i 2.5 och ersatte den tidigare ncp-ciphers-stavningen som blev föråldrad i den utgåvan. En 2.4-motor har inte det alternativet, så den stannar vid den första token den inte känner igen. Inte heller det enskilda cipher-alternativet är ett äldre alias för listan; det namnger ett enda chiffer i stället för en förhandlingsuppsättning.

Därför ger textutbyte mellan versioner profiler som tolkas och sedan beter sig oväntat, och därför är det inte en versionskontroll att kopiera ett utdrag från ett foruminlägg. Alternativnamnen flyttade sig tillsammans med reservhanteringen och standardvärdena, och en fil som satts ihop genom att byta namn på ett direktiv är inte likvärdig med en som skrivits för motorn.

Rätta motorn eller profilen, inte symptomet

För en stödd utrullning är den varaktiga reparationen en stödd kombination av Tunnelblick och motor som accepterar operatörens profil, ordnad genom den som äger installationen av programmet. Om en äldre installation måste stanna ett tag, be om en profil skriven för den motorn och för de chiffer som gatewayen faktiskt accepterar.

Att ta bort data-ciphers och data-ciphers-fallback tar verkligen bort just det här tolkningsfelet, och det är precis därför det är frestande. Det ändrar också vilka chiffer som förhandlas, i tysthet, i en säkerhetskonfiguration som du inte tänkte redigera. Behåll den ursprungliga profilen och jämför i stället de stödda inställningarna medvetet.

Försök igen och läs nästa steg

Efter rättelsen, försök med anslutningen igen och läs den nya loggen från början i stället för att anta framgång. En profil som nu tolkas kan fortfarande stanna vid chifferförhandling, vid certifikatverifiering, vid autentisering eller vid routning, och varje sådant fel har sina egna bevis.

Om förhandlingen misslyckas, jämför de chiffer som båda parter stöder med dem som varje part har tillåtelse att använda. Om autentiseringen misslyckas fungerar profilen och motorn nu tillräckligt bra för att ha nått gatewayen, vilket är framsteg värt att notera. Att stoppa den kedjan vid den första tysta loggen är hur en säkerhetsinställning tas bort av fel anledning.