Sinasabi ng OpenVPN na hindi kilala ang ncp-disable: ano ang pumalit dito?

Tumatanggi ang client na magsimula na may error sa opsyong binabanggit ang ncp-disable, kahit gumana ang profile sa naunang makina. Hindi ibig sabihin ng mensaheng iyon na mali ang baybay ng opsyon o sira ang pag-encrypt. Ibig sabihin, hindi alam ng binary na nasa harap mo ang direktibang iyon, at may dalawang magkaibang dahilan para doon. Alin ang umiiral ang magpapasya kung i-edit mo ang profile o papalitan mo ang client.

Maaaring galing ang error sa mas bagong binary

Ang error sa hindi kilalang opsyon ay tungkol sa parser, hindi sa tunnel. Nagdagdag ang OpenVPN 2.4 ng mga parameter ng encryption na maaaring pag-usapan, idineklara ng 2.5 na lipas na ang switch na nagpapatay sa mga ito, at inalis ito ng 2.6 nang buo. Kaya nabibigo ang profile na isinulat para sa 2.3 o 2.4 sa kasalukuyang client kahit walang nagbago sa file. Ang bersyong nagrereklamo ay mas bago, hindi mas luma.

Alamin kung aling executable ang gumawa ng mensahe bago mag-edit ng kahit ano. May sariling engine ang desktop client, habang may sariling bersyon ang hiwalay na naka-install na command-line binary. Maaaring hindi magkasundo ang dalawa sa iisang makina.

openvpn --version ang nagpapasya nito para sa binary na sinusubukan mo. Maaaring hindi ipakita ng GUI client ang utos na iyon; sa gayong kaso basahin ang screen nito tungkol sa o ang bersyon ng kalakip na library.

Ano talaga ang kontrolado ng opsyon

Pinatay ng direktiba ang pag-uusap sa mga parameter ng cryptography, kaya bumabalik ang dalawang dulo sa lumang pag-uugali ng pagpili na pinamamahalaan ng setting na cipher. Hindi nito kailanman pinatay ang pag-encrypt at hindi kailanman ginawang plaintext ang tunnel. Ang basahin ito bilang switch ng seguridad ang unang maling liko, at humahantong ito sa mga pagbabagong nagpapalala sa koneksyon kaysa nagpapabuti.

Kapag may pag-uusap, ang katumbas na tanong ay kung aling mga cipher ang handang gamitin ng bawat panig. Tanong ito ng patakaran, at ang patakaran ay nasa data-ciphers mula 2.5 pataas.

Ang lumang pangalan na ncp-ciphers ay para sa 2.4. Ang paghahalo ng dalawang pangalan sa magkabilang panig ay karaniwang pinagmumulan ng isang-direksyon na pagkabigo sa pag-uusap. Ang profile na may dalawa ay profile na in-edit ng dalawang tao sa magkaibang panahon.

Palitan ang patakaran, hindi ang baybay

Itakda ang data-ciphers sa magkabilang panig gamit ang sinadyang pinagsasaluhang pagpipilian, at panatilihing sapat na maikli ang listahan upang makapag-isip ang isang tagasuri tungkol dito. Walang pinatutunayan ang pagbabago ng isang arbitraryong linya; nakasalalay ang resulta sa intersection ng dalawang listahan at sa sinusuportahan ng TLS stack. Kumpirmahin na nagkakasundo ang magkabilang panig sa pamamagitan ng pagbasa ng napag-usapang resulta kaysa sa configuration. Pagkatapos, isulat ang dalawang listahan sa deployment record upang magsimula ang susunod na pagbabago sa known state.

I-update ang profile sa pamamagitan ng may-ari nito. Ang pagdaragdag ng opsyong balewala upang itago ang lipas na direktiba ay nag-iiwan sa tanong ng patakaran na walang sagot.

Kung tunay na kailangan ng lumang panig ang paghawak ng compatibility, limitahan ito sa deployment na iyon. Ang pagpapanumbalik ng lipas na pag-uugali sa buong mundo ay hindi paunang kundisyon upang ikonekta ang modernong panig. Dapat pangalanan ng eksepsiyon ang panig na pinaglilingkuran nito.

Dalawang linya na mukhang listahan ng cipher pero hindi

Ang pagsasalansan ng dalawang linya ng cipher ay hindi rin nagpapanumbalik ng pag-uusap, at ang resulta ay profile na mukhang listahan habang kumikilos na parang isang halaga. Ang isang linyang nagbabanggit ng AES-256-CBC at ang susunod na CBC ay karaniwang pagtatangka. Ang CBC lamang ay tumutukoy sa mode, hindi algorithm, kaya maaaring tanggapin ito ng parser sa isang lugar at tanggihan sa susunod. Ang paulit-ulit na direktibang cipher ay nagtatakda ng parehong opsyon nang dalawang beses sa halip na mag-ipon ng mga kandidato.

Suriin ang mga tinatanggap na pangalan gamit ang openvpn --show-ciphers sa target na binary sa halip na kopyahin ang listahan mula sa gabay na isinulat para sa ibang branch. Nagbabago ang listahan sa pagitan ng mga release. Ang pangalang wasto sa isang branch ay hindi laging wasto sa isa pa.

Kung ang layunin ay paghahambing ng performance, itala ang mga algorithm at ang workload. Ang paglipat sa CBC ay hindi sukatan na walang encryption.

Suriin kung ano talaga ang napag-usapan ng koneksyon

Magbuhat ng bagong koneksyon at basahin ang data-channel line sa log, na nagsasaad ng ginagamit na cipher. Hiwalay na pinagpapasyahan ang control-channel suite, kaya ang pinapayagang listahan sa file ay nagpapakita lamang ng inialok. Kapag pumili ang dalawang panig ng hindi mo inaasahan, ang mga listahan ang lugar na titignan, hindi ang tunnel interface. Kumpirmahin ang resulta sa pangalawang koneksyon pagkatapos ng anumang pagbabago, dahil maaaring muling gamitin ng isang restart ang naka-cache na session.

Itago ang napag-usapang resulta sa deployment record sa tabi ng bersyon ng profile. Iyon ang fact na sumasagot sa susunod na tanong tungkol sa kung aling cipher ang tunay na nagpoprotekta sa trapiko.