Bakit hindi aayusin ng pagdaragdag ng opt-verify ang error sa cipher ng OpenVPN

Makakakita ka ng mungkahi na magdagdag ng opt-verify, idadagdag mo ang linya, at ang error sa cipher ay mananatili kung saan ito naroon. Ang resultang iyon ay mahuhulaan, dahil kailanman ay hindi nakipagnegosasyon ang opsyon sa isang cipher. Ito ay isang pagsusuri ng pagkakapare-pareho ng opsyon, lipas na sa 2.6 at inalis sa 2.7, at ang profile na pinaparse pa rin kasama nito ay walang naipatupad na anuman dahil dito.

Nakakatulong na malaman kung ano ang dating ginagawa ng linya bago magpasya na ito ang nawawalang piraso. Ipinapaliwanag din ng kasaysayan kung bakit hindi ito makakatulong ngayon.

Ano ang dating ipinatutupad ng opsyon

Minarkahan ng manwal ng 2.6 ang opt-verify bilang lipas na at inilalarawan ang dating pag-uugali: itinatakwil ng server ang mga kliyenteng ang mga idineklarang opsyon ay hindi tumutugma sa sarili nito, na inihahambing ang mga bagay tulad ng uri ng device at MTU. Nakadepende rin ang pagsusuring iyon sa pananatiling naka-enable ng pagsusuri ng pagkakapare-pareho ng opsyon, kaya ang server na tumatakbo gamit ang disable-occ ay kailanman ay hindi nagkaroon nito. Pansinin kung ano ang pinagbuhatan ng paghahambing: teksto na naglalarawan ng configuration ng kabilang panig. Wala itong sinasabi tungkol sa kung aling cipher ang gagamitin ng data channel.

Ito ang unang dahilan kung bakit hindi kayang ayusin ng flag ang error sa cipher. Ang pagpili ng cipher ay pinamamahalaan ng patakaran ng data-ciphers at ng sinusuportahan ng dalawang panig, at ang tekstuwal na pagsusuri ng pagkakapare-pareho ay hindi nagpapalawak ng listahang iyon ni nagsasagawa ng negosasyon. Ang ikalawang dahilan ay saklaw: ang pagsusuri ay tungkol sa kung ang mga idineklarang opsyon ay mukhang tugma, hindi sa kalidad ng landas na nagreresulta.

Ano ang ginagawa ng 2.7 kapag nakita ang linya

Sa 2.7 wala na ang opsyon. Kinikilala pa rin ng parser ang pangalan, kaya naglo-load ang lumang profile nang walang syntax error, at iniuulat nito na inalis ang opsyon sa halip na lampasan ito nang tahimik. Ang makilala ang isang pangalan at ang magpatupad ng isang pag-uugali ay magkaibang bagay, at ang una lang ang nangyayari pa. Ang mga tala ng pag-alis ay nagbibigay ng dahilan: kapag napagnegosyuhan na ang mga parameter, maaaring lehitimong magkaroon ng magkaibang string ng opsyon ang dalawang panig habang sumasang-ayon sa koneksyon.

Kaya ang profile na pinaparse ay hindi ebidensya na may naisagawang anumang pagsusuri ng pagpasok. Kung ang tanging senyales mo ay nakakonekta ang kliyente, nalaman mong tinanggap ang syntax.

Kung saan talaga nakatira ang pagkabigo

Itago ang unang konkretong error bago magbago ng anuman, dahil ang mga kasunod na mensahe ay karaniwang kahihinatnan nito. Ang pagkabigo ng negosasyon ng data channel ay kabilang sa inaprubahang patakaran ng cipher at sa mga kakayahang aktuwal na inaanunsyo ng dalawang panig. Ang pagkabigo ng bersyon o suite ng TLS ay kabilang sa control channel. Ang pagtanggi sa sertipiko ay nangangailangan ng pagkakakilanlan at trust chain, hindi ng flag ng pagiging tugma.

Kilalanin din ang engine sa dalawang dulo. Maaaring maglaman ang desktop application ng ibang build kaysa sa command-line binary na sinubukan mo, at nagkakaiba ang suporta sa opsyon sa pagitan nila. Tingnan ang dokumentasyon ng engine na iyon sa halip na ipalagay na ang bawat program na nag-aangkat ng profile ay pareho ang pag-uugali.

Palitan ang intensyon, hindi lang ang linya

Kung ang mas lumang managed server ay tunay na umasa sa pagsusuri ng pagkakapare-pareho, itala kung anong paghihigpit ang ipinatupad nito bago ang upgrade. Ang pagpapanatili ng binabalewalang opsyon sa mas bagong profile ay hindi makapagpapanatili ng patakarang iyon, at ang basta pagbura ng mga linya ay hindi rin.

Huwag sagutin ang lumang mungkahi na ang lahat ng cipher ay hindi pinagana sa pamamagitan ng pagpapagana sa bawat makasaysayang algorithm.

Pagkatapos ng inaprubahang pagwawasto, suriin ang mga napagnegosyuhang resulta sa isang bagong koneksyon at subukan ang aplikasyong tunay na kailangan ng gumagamit. Itago ang bersyon ng server at ang mabisang patakaran sa tabi ng resultang iyon, upang makita ng susunod na tao kung ano ang napagkasunduan at hindi lamang kung ano ang tinanggap.

Ang layunin ay isang sinusuportahang paghihigpit at gumaganang awtentikadong landas, hindi isang lumang flag na pinaparse pa rin.