Tunnelblick data-ciphers не розпізнано: який рушій працював?

Tunnelblick повідомляє про нерозпізнану опцію data-ciphers, згадує OpenVPN 2.4 у тому самому реченні, і з'єднання так і не запускається. Це локальний збій розбору, а не розбіжність щодо шифру, бо рушій відхилив профіль ще до будь-яких переговорів із шлюзом. Звичайна порада про політику шифрів сервера тут не допоможе; спочатку розбірник має зрозуміти файл. Знайдіть рушій, який фактично запустила ця конфігурація, і решта додасться.

Прочитайте рядок журналу, перш ніж чіпати профіль

Відкрийте невдале з'єднання у вікні подробиць Tunnelblick і читайте журнал згори. Перші рядки називають версію рушія та профіль, який йому передають, а далі опцію, що зупинила розбір. Усе після цього — шум, бо процес завершився.

Запишіть три факти з цього журналу: версію рушія, назву конфігурації та точне повідомлення. Ці три — увесь діагноз. Вони ж знадобляться, якщо виправлення вимагатиме змінити встановлений застосунок. Зробіть знімок екрана рядків, а не переказуйте їх, бо назви опцій легко надрукувати з помилкою, повторюючи їх із пам'яті.

Підтвердьте, який рушій запускає ця конфігурація

Tunnelblick — це застосунок, обгорнутий навколо рушія OpenVPN, і різні конфігурації можуть запускати різні рушії. Перевірте версію, вибрану для цієї конфігурації, у вікні подробиць, а не читайте версію застосунку, і не підміняйте її виводом термінального двійкового файлу openvpn, який конфігурація ніколи не використовує. Посібник із версій OpenVPN від Tunnelblick описує, як працює цей вибір і де він зберігається.

Різниця важлива, бо на машині може бути сучасний двійковий файл у PATH і вбудований рушій 2.4 за невдалим з'єднанням. Профіль оцінює другий.

openvpn --version
ls /Applications/Tunnelblick.app/Contents/Resources/openvpn/

Ці дві команди показують, що запустив би термінал і які каталоги рушіїв несе встановлений застосунок. Жодна з них не доводить, що використовувала невдала конфігурація, адже журнал уже сказав вам це, а шляхи різняться між випусками Tunnelblick.

Чому змінилася назва директиви

OpenVPN запровадив data-ciphers як список переговорів у версії 2.5, замінивши попереднє написання ncp-ciphers, яке застаріло в цьому випуску. Рушій 2.4 не має такої опції, тож зупиняється на першому невідомому токені. Окрема опція cipher теж не є старим псевдонімом списку; вона називає один шифр, а не набір для переговорів.

Тому заміна тексту між версіями дає профілі, які розбираються, а потім поводяться неочікувано, і тому копіювання фрагмента з допису на форумі не є перевіркою версії. Назви опцій зсунулися разом з обробкою резервних значень і типовими значеннями, а файл, зібраний перейменуванням однієї директиви, не еквівалентний файлу, написаному для рушія.

Виправте рушій або профіль, а не симптом

Для підтримуваного розгортання тривале виправлення — це підтримуване поєднання Tunnelblick і рушія, яке приймає профіль оператора, організоване через того, хто володіє встановленням застосунку. Якщо старе встановлення має залишитися на деякий час, попросіть профіль, написаний для цього рушія і для шифрів, які шлюз справді приймає.

Видалення data-ciphers і data-ciphers-fallback справді прибирає цю конкретну помилку розбору, і саме тому це спокусливо. Воно також мовчки змінює, які шифри узгоджуватимуться, у конфігурації безпеки, яку ви не збиралися редагувати. Збережіть початковий профіль і натомість свідомо порівняйте підтримувані налаштування.

Спробуйте ще раз і прочитайте наступний етап

Після виправлення повторіть з'єднання і прочитайте новий журнал від початку, а не припускайте успіх. Профіль, який тепер розбирається, все ще може зупинитися на узгодженні шифру, на перевірці сертифіката, на автентифікації або на маршрутизації, і кожен із цих збоїв має власні докази.

Якщо узгодження не вдається, порівняйте шифри, які підтримують обидві сторони, з тими, які кожній дозволено використовувати. Якщо автентифікація не вдається, профіль і рушій тепер працюють достатньо добре, щоб дістатися шлюзу, і це прогрес, який варто зафіксувати. Зупиняти цей ланцюг на першому тихому журналі — це спосіб прибрати налаштування безпеки з неправильної причини.