OpenVPN ไม่สามารถปิดใช้งานการเข้ารหัส

ฉันได้ตั้งค่าทั้งในเซิร์ฟเวอร์และไคลเอนต์:

cipher none
auth none

ทำตามคำแนะนำนี้ฉันยังใช้พอร์ต UDP 1195

เมื่อฉันเปิดใช้เซิร์ฟเวอร์และลูกค้าฉันได้รับคำเตือนดังต่อไปนี้:

Tue Dec  4 12:58:25 2018 ******* WARNING *******: '--cipher none' was specified. This means NO encryption will be performed and tunnelled data WILL be transmitted in clear text over the network! PLEASE DO RECONSIDER THIS SETTING!
Tue Dec  4 12:58:25 2018 ******* WARNING *******: '--auth none' was specified. This means no authentication will be performed on received packets, meaning you CANNOT trust that the data received by the remote side have NOT been manipulated. PLEASE DO RECONSIDER THIS SETTING!

... ซึ่งเป็นสิ่งที่ดี แต่ openvpn ยังคงใช้การเข้ารหัส ฉันรู้สิ่งนี้เพราะ:

1) ฉันได้รับข้อความต่อไปนี้บนฝั่งเซิร์ฟเวอร์เมื่อลูกค้าเชื่อมต่อ:

Tue Dec  4 12:59:59 2018 client_abc/10.20.73.2:36752 Outgoing Data Channel: Cipher 'AES-256-GCM' initialized with 256 bit key
Tue Dec  4 12:59:59 2018 client_abc/10.20.73.2:36752 Incoming Data Channel: Cipher 'AES-256-GCM' initialized with 256 bit key

2) ฉันได้รับซีพียู huuuge ทั้งสองด้าน

3) ฉันเห็นใน Wireshark ว่าข้อมูลถูกเข้ารหัส

มีอะไรอีกที่ต้องปิดการใช้งานการเข้ารหัส?

ดูเหมือนว่าคุณเปิดใช้งานพารามิเตอร์ Crypto (NCP) ที่ตกลงกันได้ คุณควรระบุ

ncp-disable

ปิดใช้งาน "พารามิเตอร์ crypto ที่เปลี่ยนมือได้" สิ่งนี้ปิดใช้งานการเจรจาตัวเลขอย่างสมบูรณ์

เมื่ออินสแตนซ์ OpenVPN สองรายการเปิดใช้งาน NCP (ค่าเริ่มต้นสำหรับเวอร์ชันล่าสุด) พวกเขาจะเจรจาว่าจะใช้รหัสใดจากชุด ciphers ที่กำหนดโดย ncp-ciphers ค่าเริ่มต้นสำหรับสิ่งนั้นคือ 'AES-256-GCM: AES-128-GCM' ซึ่งอธิบายถึงสาเหตุที่คุณเห็น AES-256-GCM ในการเชื่อมต่อของคุณ

สมมติว่าคุณกำลังใช้งาน openvpn 2.4 ฉันเชื่อว่าคุณต้องตั้งค่า

NCP-ปิดการใช้งาน

https://openvpn.net/community-resources/reference-manual-for-openvpn-2-4/

พื้นหลังบางส่วน:

Openvpn ใช้เพื่อกำหนดให้คุณกำหนดอัลกอริทึมการเข้ารหัสด้วยตนเองเป็นค่าเดียวกันทั้งสองด้าน อย่างไรก็ตามสิ่งนี้ทำให้เกิดปัญหาทำให้ยากมากในการอัพเกรดการเข้ารหัสบน VPN ที่มีผู้ใช้หลายคน ในปี 2559 มีการวางแผนการโจมตีที่เรียกว่า "sweet32" ซึ่งอนุญาตให้ใช้ข้อความธรรมดาได้ในบางสถานการณ์ มันไม่ใช่เรื่องง่ายเลยที่การโจมตีจะดึงออกมาในทางปฏิบัติและมีวิธีบรรเทาความมันโดยไม่เปลี่ยนเลขศูนย์ แต่มันก็ยังเป็นการพัฒนาที่เกี่ยวข้อง

Openvpn 2.4 เปิดตัวฟีเจอร์ใหม่เปิดใช้งานโดยค่าเริ่มต้นสำหรับการเจรจาพารามิเตอร์ crypto ฉันไม่แน่ใจว่าสิ่งนี้เป็นปฏิกิริยาต่อ sweet32 หรือเป็นผลมาจากความกังวลทั่วไปเกี่ยวกับความหมายของการถูกล็อกเข้ากับชุดรหัสเดียวอย่างมีประสิทธิภาพ

ดังนั้นเมื่อการเจรจาของพารามิเตอร์ crypto ถูกเปิดใช้งานการตั้งค่า "cipher" จะทำหน้าที่เป็น fall-back ที่จะใช้หากด้านอื่น ๆ ของการเชื่อมต่อไม่สนับสนุนการเจรจาต่อรอง