AES-256-GCM topilmadi: mijoz imkoniyatimi yoki kelishuvmi?

Boshqa joyda ishlaydigan OpenVPN profili AES-256-GCM topilmaganini yoki tomonlarda umumiy shifr yo’qligini xabar qiladi va birinchi fikr profilni tahrirlash bo’ladi. Bu ikki xabar turli nosozliklarni tasvirlaydi. Biri mahalliy dasturda bunday algoritm yo’qligini aytadi; ikkinchisi ikkala tomonda ham algoritmlar bor, lekin umumiy tanlov yo’qligini. Qaysi biri sizda ekanini bilmaguningizcha profilni tahrirlash hech birini hal qilmaydi.

Xatoning aniq matnini va uni chiqargan dasturni o’qing.

Qaysi xato sizda ekanini aniqlang

Topilmagan shifr haqidagi xabar mahalliy mashinada biron paket yuborilishidan oldin parametrlarni tahlil qilishdan keladi. Bu sizning oldingizdagi bajariladigan fayl yoki u bog’langan kutubxona bu algoritmni taklif qilmasligini bildiradi. Umumiy shifr yo’qligi haqidagi xabar keyinroq, kelishuv paytida keladi va ikkala tomon shifrlarni qo’llab-quvvatlaydi, ammo bittasida kelisha olmaydi degani.

Farq muhim, chunki biri dastur versiyasi muammosi, ikkinchisi esa sozlama muammosi. Birinchisini versiya raqami hal qiladi. Ikkinchisini ikki ro’yxatni solishtirish hal qiladi.

Mahalliy imkoniyat yetishmasligi

Eski hamjamiyat buildlari zamonaviy standart qiymatlardan oldin paydo bo’lgan, ish stoli ilovasi esa yonida o’rnatilgan buyruq qatori paketidan farqli o’z dvigatelini olib kelishi mumkin. Tekshiruvlarni ulanishni haqiqatan boshlagan bajariladigan faylda o’tkazing, so’ng eski dasturga yangi algoritm o’rgatish o’rniga qo’llab-quvvatlanadigan buildni tanlang.

openvpn --version
openvpn --show-ciphers | grep -i gcm
openvpn --show-tls | head -5

Agar AES-256-GCM o’sha ro’yxatda bo’lmasa, hech bir profil satri uni qo’shmaydi. Yechim yangiroq mijoz yoki boshqa build, eski tomonning cheklovlari esa alohida dizayn savoliga aylanadi.

OpenVPN 3 asosidagi mijozlarda dvigatel va qabul qilinadigan direktivalar hamjamiyatning 2.x liniyasidan farq qiladi, shuning uchun bir xil profil matni shifr ro’yxatiga aloqasi bo’lmagan sabablarga ko’ra muvaffaqiyatsiz bo’lishi mumkin.

Kelishuvdagi yetishmovchilik

Ikkala tomon ham algoritmni sanab o’tganda qolgan savol har bir tomon qaysi ro’yxatni taklif qilishidir. Hamjamiyat OpenVPN kelishuv direktivasining nomini o’zgartirdi: 2.4 dagi ncp-ciphers 2.5 da data-ciphers bo’ldi, 2.6 da esa eski cipher satri asosan moslik va orqaga qaytish uchun xizmat qiladi, kelishilgan to’plamni belgilash uchun emas.

Shu sababli faqat eski cipher satrini o’zgartirish kelishuv ro’yxatini tegilmagan holda qoldirishi mumkin. Eski satr orqaga qaytish uchun hali ham muhim va bu alohida ish. Ikkalasini aralashtirish ko’rinadigan hech narsani o’zgartirmaydigan tahrirlarni keltiradi.

openvpn --version | head -2
grep -n -E '^(data-ciphers|ncp-ciphers|cipher|tls-cipher)' server.conf client.ovpn

Ikkala uchning ro’yxatlarini va serverning rad javobini solishtiring. Agar kesishma bo’sh bo’lsa, boshqa versiya uchun yozilgan maqoladan qiymat ko’chirmasdan ro’yxatlarni ataylab moslang. Juda keng ro’yxat har bir ulanishni jimgina zaiflashtiradi. Juda tor ro’yxat saqlamoqchi bo’lgan tomonni chiqarib tashlaydi.

Moslikni ochiq saqlang

Bitta eski tomon uchun orqaga qaytish narxli qaror: bitta qurilma ulanishi uchun butun joylashtirish zaifroq variantni qabul qiladi. Buni shunday yozing va faqat shunga muhtoj tomon bilan cheklang.

Natijani ikki shart hal qiladi. Xato mahalliy bo’lsa, buildni almashtiring. Xato kelishuvda bo’lsa, ikki uchda ro’yxatlarni moslang va qaysi versiyalarni qo’llab-quvvatlashingizni yozib qo’ying.

So’ng aniq xatoni versiya va imkoniyat chiqishi bilan birga xabar qiling. Bu juftlik yo’q algoritmni kelishmovchilikdan ajratadi va keyingi taxminiy tahrirlar bosqichini boshlanishidan oldin to’xtatadi.