Памылка OpenVPN: невядомая опцыя tls-remote або keysize

Звычайна ўсё пачынаецца з профілю, які падключаўся гадамі, адкрытага ў новым кліенце, і збою яшчэ да запуску тунэля. Тэрмінал друкуе нешта накшталт Options error: Unrecognized option ... in client.ovpn:130: tls-remote, з версіяй у дужках у канцы. Чытайце гэта як скаргу парсера: у файле ёсць дырэктыва, якую гэты кліент больш не ведае.

Гэтае адзінае паведамленне тлумачыць, чаму перагенерацыя ключоў, паўторны ўвод пароля або праверка сервера нічога не даюць. Збой адбываецца, пакуль кліент чытае сваю ўласную канфігурацыю, да адкрыцця сокета. Карысная праца — вызначыць адхіленую дырэктыву і замяніць яе на сучасны эквівалент.

Прачытайце радок са збоем, перш чым нешта змяняць

Запусціце кліент самастойна, а не праз значок у сістэмным латку, каб паведамленне было бачным, а шлях да профілю — адназначным. Адкрыйце файл на пазначаным радку і паглядзіце на токен, які назваў кліент. Нумар радка — гэта радок профілю, а не версія, што блытае людзей, бо той самы нумар з'яўляецца ў дужках як ідэнтыфікатар выпуску.

Старыя генератары профіляў выдавалі не адну дрэнную дырэктыву, а некалькі. Выпраўце першую памылку, перазапусціце кліент і чакайце наступнай. Гэтая паслядоўнасць нармальная і не з'яўляецца прыкметай таго, што праўкі зрабілі горш.

Што адбылося з keysize і tls-remote

keysize патрабаваў даўжыню ключа шыфра ў эпоху, калі профіль выбіраў шыфр яўна. OpenVPN 2.4 абвясціў яго састарэлым, а пазнейшыя кліенты выдалілі яго з табліцы опцый, таму парсер цяпер адхіляе радок замест таго, каб ігнараваць яго. Сучасныя перамовы выводзяць даўжыню ключа з выбранага шыфра, таму дырэктыве не засталося чым кіраваць.

tls-remote быў выдалены ў 2.4. Ён параўноўваў сертыфікат сервера з чаканым імем, а яго замена — verify-x509-name, якая больш строга ставіцца да таго, як супастаўляецца імя. Старая дырэктыва знікла, таму профіль, які яе змяшчае, ніколі не разбярэцца на сучасным кліенце.

Выпраўляйце па адной дырэктыве за спробу. Калі профіль таксама паказвае шыфр, які кліент не прапануе, гэта дасць іншую памылку пазней, а змешванне абодвух змяненняў у адной праўцы робіць немагчымым зразумець, якое з іх зламала рукапацісканне. Пасля кожнай праўкі перападключайцеся і захоўвайце тэкст памылкі. Гэтая звычка таксама пакідае працоўны запасны варыянт, калі праўка робіць горш.

Перапішыце праверку ідэнтычнасці сервера

Замена прымае чаканае імя і рэжым параўнання. verify-x509-name vpn.example.edu name патрабуе, каб суб'ект сертыфіката быў дакладна роўны гэтаму значэнню. Іншыя рэжымы супастаўляюць прэфікс або поўны радок суб'екта, і выбар няправільнага рэжыму ператварае працоўны профіль у чыстую памылку праверкі.

Калі стары аргумент tls-remote быў поўным агульным імем сервера, дакладнае параўнанне name звычайна правільнае. Калі гэта было частковае значэнне, выкарыстоўвайце рэжым прэфікса, а не скарачаць чаканае імя, бо больш кароткае дакладнае супадзенне не пройдзе праверку. Калі зыходнае значэнне не запісана, спытайце ў таго, хто кіруе серверам, суб'ект, які яны публікуюць.

Не заглушайце праверку, каб памылка знікла. Выдаленне праверкі ідэнтычнасці сервера ператварае выпраўную праблему профілю ў неправераны тунэль, а гэта менавіта той рызыка, дзеля прадухілення якой існавала дырэктыва.

Выпраўлены профіль, лакальная праўка або стары кліент

Калі серверам валодае хтосьці іншы, найчысцейшы шлях — сучасны профіль ад яго. Ваша копія паходзіць са старога генератара, а яго экспарт ужо выкарыстоўвае сучасныя дырэктывы. Адно спампоўванне выдаляе ўсю катэгорыю памылак і трымае будучыя праўкі ў адным месцы.

Калі вы валодаеце абодвума бакамі, правідзьце копію і захавайце арыгінал. Змяніце адну дырэктыву, захавайце, падключыцеся і запішыце версію кліента, якую правяралі. Трымайце кароткую нататку побач з кожнай праўкай, бо профіль, які правіўся за некалькі сеансаў, цяжка аўдытаваць па памяці. Запуск з каманднага радка супраць змененага файла робіць гэты цыкл хуткім, бо памылка ідзе прама ў тэрмінал.

Замацаванне або адкат да кліента да 2.4 таксама прыбірае паведамленне, і на прыладзе, якая ніколі не будзе абноўлена, гэта можа быць адзіным працаздольным часовым рашэннем. Стаўцеся да яго як да часовага: стары кліент на сучасным працоўным стале звычайна азначае старую бібліятэку і непадтрымліваемую канфігурацыю, а гэта адкладзеная, а не вырашаная праблема.

Пасля ўздыму тунэля прачытайце ўвесь профіль яшчэ раз. Профілі, якія неслі адну выдаленую дырэктыву, часта нясуць і другую, а другая выяўляецца толькі пасля знікнення першай.