OpenVPN ncp-disable'ı tanımadığını söylüyor: yerine ne geçti?

İstemci, ncp-disable adını anan bir seçenek hatasıyla başlamayı reddediyor, oysa profil önceki makinede çalışıyordu. Bu ileti seçeneğin yanlış yazıldığı ya da şifrelemenin bozuk olduğu anlamına gelmez. Önünüzdeki ikili dosyanın bu yönergeyi hiç tanımadığı anlamına gelir ve bunun iki çok farklı nedeni vardır. Hangisinin geçerli olduğu, profili düzenleyeceğinizi mi yoksa istemciyi değiştireceğinizi mi belirler.

Hata daha yeni bir ikili dosyadan da gelebilir

Tanınmayan seçenek hatası tünelle değil, ayrıştırıcıyla ilgilidir. OpenVPN 2.4 pazarlık edilebilir şifreleme parametreleri ekledi, 2.5 bunları kapatan anahtarı kullanımdan kaldırılmış ilan etti ve 2.6 onu tamamen kaldırdı. Bu yüzden 2.3 veya 2.4 için yazılmış bir profil, dosyada hiçbir şey değişmese bile güncel bir istemcide başarısız olur. Şikâyet eden sürüm daha yeni, daha eski değil.

Herhangi bir şeyi düzenlemeden önce iletiyi hangi çalıştırılabilir dosyanın ürettiğini bulun. Masaüstü istemcisi kendi motorunu taşır, ayrıca kurulmuş komut satırı ikili dosyasının ise kendi sürümü vardır. İkisi aynı makinede uyuşmayabilir.

openvpn --version bunu test ettiğiniz ikili dosya için çözer. Bir GUI istemcisi bu komutu göstermeyebilir; bu durumda hakkında ekranını ya da birlikte gelen kitaplığın sürümünü okuyun.

Seçeneğin gerçekte neyi denetlediği

Yönerge kriptografik parametrelerin pazarlığını kapatıyordu, bu yüzden iki uç da cipher ayarının yönettiği daha eski seçim davranışına dönüyordu. Şifrelemeyi hiçbir zaman kapatmadı ve tüneli hiçbir zaman düz metne çevirmedi. Bunu bir güvenlik anahtarı olarak okumak ilk yanlış dönüştür ve bağlantıyı iyileştirmek yerine kötüleştiren değişikliklere yol açar.

Pazarlık var olduğunda eşdeğer soru, her tarafın hangi şifrelemeleri kullanmaya istekli olduğudur. Bu bir politika sorusudur ve politika 2.5'ten itibaren data-ciphers içinde yaşar.

Daha eski ad ncp-ciphers 2.4'e aittir. İki adı taraflar arasında karıştırmak, tek yönlü pazarlık başarısızlıklarının yaygın bir kaynağıdır. İkisini de taşıyan profil, iki kişinin farklı zamanlarda düzenlediği profildir.

Politikayı değiştirin, yazımı değil

Her iki tarafta da amaçlanan ortak seçimle data-ciphers ayarlayın ve listeyi bir gözden geçirenin üzerinde düşünebileceği kadar kısa tutun. Rastgele bir satırı değiştirmek hiçbir şey kanıtlamaz; sonuç iki listenin kesişimine ve TLS yığınının neyi desteklediğine bağlıdır. Yapılandırma yerine pazarlık edilen sonucu okuyarak tarafların anlaştığını doğrulayın. Ardından iki listeyi dağıtım kaydına yazın, böylece sonraki değişiklik bilinen bir durumdan başlasın.

Profili sahibi aracılığıyla güncelleyin. Kullanımdan kalkmış bir yönergeyi saklamak için yoksayma seçeneği eklemek politika sorusunu yanıtsız bırakır.

Daha eski bir taraf gerçekten uyumluluk işlemesine ihtiyaç duyuyorsa bunu o dağıtımla sınırlayın. Kullanımdan kalkmış davranışı küresel olarak geri getirmek, modern tarafları bağlamanın ön koşulu değildir. İstisna, hangi taraf için var olduğunu adlandırmalıdır.

Şifreleme listesine benzeyen ama olmayan iki satır

İki şifreleme satırını üst üste yığmak da pazarlığı geri getirmez ve sonuç, liste gibi görünen ama tek bir değer gibi davranan bir profildir. Bir satırda AES-256-CBC, sonrakinde CBC yazmak yaygın bir denemedir. CBC tek başına algoritmayı değil kipi adlandırır, bu yüzden ayrıştırıcı onu bir yerde kabul edip sonrakinde reddedebilir. Yinelenen cipher yönergeleri adayları biriktirmek yerine aynı seçeneği iki kez ayarlar.

Kabul edilen adları başka bir dal için yazılmış kılavuzdan liste kopyalamak yerine hedef ikili dosyada openvpn --show-ciphers ile denetleyin. Liste sürümler arasında değişir. Bir dalda geçerli olan ad diğerinde geçerli olmak zorunda değildir.

Amaç performans karşılaştırmasıysa algoritmaları ve iş yükünü kaydedin. CBC'ye geçmek şifrelemenin yokluğunun ölçümü değildir.

Bağlantının gerçekte neyi pazarladığını denetleyin

Yeni bir bağlantı kurun ve günlükteki, kullanılan şifrelemeyi adlandıran veri kanalı satırını okuyun. Denetim kanalı paketi ayrıca belirlenir, bu yüzden dosyadaki izin verilen liste yalnızca ne sunulduğunu gösterir. İki taraf beklediğinizden farklı bir şey seçtiğinde bakılacak yer tünel arayüzü değil listelerdir. Her değişiklikten sonra sonucu ikinci bir bağlantıda doğrulayın, çünkü bir yeniden başlatma önbelleğe alınmış bir oturumu yeniden kullanabilir.

Pazarlık edilen sonucu profil sürümünün yanındaki dağıtım kaydında tutun. Hangi şifrelemenin trafiği gerçekten koruduğuna dair sonraki soruyu yanıtlayan olgu budur.