OpenVPN ncp-disable noma'lum deb aytmoqda: uni nima almashtirdi?

Mijoz ncp-disable nomini tilga oluvchi parametr xatosi bilan ishga tushishdan bosh tortmoqda, holbuki profil oldingi mashinada ishlagan. Bu xabar parametr noto'g'ri yozilgani yoki shifrlash buzilgani degani emas. Bu sizning oldingizdagi binar bu ko'rsatmani umuman bilmasligini bildiradi va buning ikki juda boshqacha sababi bor. Qaysi biri tegishli ekani profilni tahrirlashingiz yoki mijozni almashtirishingizni belgilaydi.

Xato yangiroq binardan ham kelishi mumkin

Noma'lum parametr xatosi tunnelga emas, tahlilchiga tegishli. OpenVPN 2.4 kelishib olinadigan shifrlash parametrlarini qo'shdi, 2.5 ularni o'chiruvchi kalitni eskirgan deb e'lon qildi, 2.6 esa uni butunlay olib tashladi. Shuning uchun 2.3 yoki 2.4 uchun yozilgan profil faylda hech narsa o'zgarmagan bo'lsa ham joriy mijozda muvaffaqiyatsiz bo'ladi. Shikoyat qilayotgan versiya yangiroq, eskisi emas.

Biror narsani tahrirlashdan oldin xabarni qaysi bajariladigan fayl chiqarganini aniqlang. Ish stoli mijozi o'z dvigatelini olib keladi, alohida o'rnatilgan buyruq qatori binari esa o'z versiyasiga ega. Ikkalasi bir mashinada mos kelmasligi mumkin.

openvpn --version buni siz sinovdan o'tkazayotgan binar uchun hal qiladi. GUI mijoz bu buyruqni ko'rsatmasligi mumkin; u holda uning haqida ekranini yoki birga kelgan kutubxona versiyasini o'qing.

Parametr aslida nimani boshqargan

Ko'rsatma kriptografik parametrlar kelishuvini o'chirgan, shuning uchun ikkala tomon ham cipher sozlamasi boshqaradigan eski tanlov xatti-harakatiga qaytgan. U hech qachon shifrlashni o'chirmagan va tunnelni ochiq matnga aylantirmagan. Uni xavfsizlik kaliti deb o'qish birinchi noto'g'ri burilishdir va u aloqani yaxshilash o'rniga yomonlashtiradigan o'zgarishlarga olib keladi.

Kelishuv mavjud bo'lganda teng savol har bir tomon qaysi shifrlarni ishlatishga tayyor ekanidir. Bu siyosat savoli, siyosat esa 2.5 dan boshlab data-ciphers ichida yashaydi.

Eski nom ncp-ciphers 2.4 ga tegishli. Ikki nomni tomonlar o'rtasida aralashtirish bir tomonlama kelishuv muvaffaqiyatsizliklarining keng tarqalgan manbai. Ikkalasini ham olib yuruvchi profil ikki kishi tomonidan turli vaqtlarda tahrirlangan profildir.

Siyosatni almashtiring, imloni emas

Ikkala tomonda ham mo'ljallangan umumiy tanlov bilan data-ciphers ni belgilang va ro'yxatni taqrizchi o'ylab ko'ra oladigan darajada qisqa tuting. Bitta tasodifiy satrni o'zgartirish hech narsani isbotlamaydi; natija ikki ro'yxatning kesishuviga va TLS steki nimani qo'llab-quvvatlashiga bog'liq. Konfiguratsiya o'rniga kelishilgan natijani o'qib tomonlar kelishganini tasdiqlang. So'ngra ikkala ro'yxatni joylashtirish yozuviga yozing, keyingi o'zgarish ma'lum holatdan boshlansin.

Profilni uning egasi orqali yangilang. Eskirgan ko'rsatmani yashirish uchun e'tiborsizlik parametrini qo'shish siyosat savolini javobsiz qoldiradi.

Agar eskiroq tomon haqiqatan ham moslik bilan ishlashga muhtoj bo'lsa, uni o'sha joylashtirish bilan cheklang. Eskirgan xatti-harakatni global miqyosda tiklash zamonaviy tomonlarni ulashning sharti emas. Istisno u qaysi tomon uchun mavjudligini nomlashi kerak.

Shifrlar ro'yxatiga o'xshab ko'rinadigan, lekin bo'lmagan ikki satr

Ikki shifr satrini ustma-ust qo'yish ham kelishuvni tiklamaydi va natija ro'yxatga o'xshab ko'rinadigan, ammo bitta qiymat kabi ishlaydigan profil bo'ladi. Bir satrda AES-256-CBC, keyingisida CBC yozish keng tarqalgan urinishdir. CBC o'zi algoritmni emas, rejimni nomlaydi, shuning uchun tahlilchi uni bir joyda qabul qilib, keyingisida rad etishi mumkin. Takrorlangan cipher ko'rsatmalari nomzodlarni to'plash o'rniga bir xil parametrni ikki marta belgilaydi.

Qabul qilinadigan nomlarni boshqa tarmoq uchun yozilgan qo'llanmadan ro'yxat ko'chirish o'rniga maqsadli binarda openvpn --show-ciphers bilan tekshiring. Ro'yxat nashrlar orasida o'zgaradi. Bir tarmoqda amal qiladigan nom ikkinchisida amal qilishi shart emas.

Agar maqsad samaradorlikni taqqoslash bo'lsa, algoritmlar va ish yukini yozib oling. CBC ga o'tish shifrlash yo'qligining o'lchovi emas.

Ulanish aslida nima bo'yicha kelishganini tekshiring

Yangi ulanish ko'taring va jurnalda ishlatilayotgan shifrni nomlovchi ma'lumot kanali satrini o'qing. Boshqaruv kanali to'plami alohida hal qilinadi, shuning uchun fayldagi ruxsat etilgan ro'yxat faqat nima taklif qilinganini ko'rsatadi. Ikki tomon siz kutmagan narsani tanlaganda, qarash kerak bo'lgan joy tunnel interfeysi emas, ro'yxatlardir. Har qanday o'zgarishdan keyin natijani ikkinchi ulanishda tasdiqlang, chunki bitta qayta ishga tushirish keshlangan sessiyani qayta ishlatishi mumkin.

Kelishilgan natijani profil versiyasi yonida joylashtirish yozuvida saqlang. Qaysi shifr haqiqatan trafikni himoya qilayotgani haqidagi keyingi savolga aynan shu fakt javob beradi.