OpenVPN greška: nepoznata opcija tls-remote ili keysize

Obično počinje profilom koji se godinama povezivao, otvorenim na novijem klijentu, i neuspjehom prije nego što tunel uopće krene. Terminal ispiše nešto poput Options error: Unrecognized option ... in client.ovpn:130: tls-remote, s verzijom u zagradama na kraju. Čitajte to kao žalbu parsera: datoteka sadrži direktivu koju ovaj klijent više ne poznaje.

Ta jedna poruka objašnjava zašto ponovno generisanje ključeva, ponovno upisivanje lozinke ili provjera servera ne rade ništa. Neuspjeh se događa dok klijent čita vlastitu konfiguraciju, prije nego što otvori socket. Koristan posao je prepoznati odbijenu direktivu i zamijeniti je trenutnim ekvivalentom.

Pročitajte red koji pada prije nego što bilo šta mijenjate

Pokrenite klijent sami umjesto iz ikone u sistemskoj traci, kako bi poruka bila vidljiva i putanja do profila nedvosmislena. Otvorite datoteku na navedenom redu i pogledajte token koji je klijent imenovao. Broj reda je red profila, a ne verzija, što zbunjuje ljude jer se isti broj pojavljuje u zagradama kao identifikator izdanja.

Stari generatori profila nisu ispisivali jednu lošu direktivu, nego nekoliko. Ispravite prvu grešku, ponovo pokrenite klijent i očekujte da se pojavi sljedeća. Taj slijed je normalan i nije znak da su izmjene pogoršale stvari.

Šta se dogodilo s keysize i tls-remote

keysize je zahtijevao dužinu ključa šifre u eri kada je profil eksplicitno birao šifru. OpenVPN 2.4 ga je označio zastarjelim, a kasniji klijenti su ga uklonili iz tablice opcija, pa parser sada odbija red umjesto da ga ignorira. Savremeno pregovaranje izvodi dužinu ključa iz odabrane šifre, zato direktivi nije ostalo ništa za kontrolu.

tls-remote je uklonjen u 2.4. Upoređivao je certifikat servera s očekivanim imenom, a njegova zamjena je verify-x509-name, koja je stroža po pitanju načina uparivanja imena. Stara direktiva je nestala, pa se profil koji je nosi nikada neće parsirati na trenutnom klijentu.

Ispravljajte jednu direktivu po pokušaju. Ako profil također navodi šifru koju klijent ne nudi, to kasnije proizvodi drugu grešku, a miješanje obje promjene u jednoj izmjeni onemogućava da se kaže koja je pokvarila rukovanje. Ponovo se povežite nakon svake izmjene i sačuvajte tekst greške. Ta navika također ostavlja radnu rezervu ako izmjena pogorša stvari.

Prepišite provjeru identiteta servera

Zamjena uzima očekivano ime i način poređenja. verify-x509-name vpn.example.edu name zahtijeva da subjekt certifikata bude tačno jednak toj vrijednosti. Drugi načini uparuju prefiks ili cijeli niz subjekta, a odabir pogrešnog načina pretvara radni profil u čist neuspjeh verifikacije.

Ako je stari argument tls-remote bio puno uobičajeno ime servera, tačno poređenje name obično je ispravno. Ako je bila djelimična vrijednost, koristite način prefiksa umjesto skraćivanja očekivanog imena, jer kraće tačno podudaranje neće proći verifikaciju. Kada originalna vrijednost nije zapisana, pitajte onoga koji upravlja serverom za subjekt koji objavljuju.

Ne utišavajte provjeru da bi greška nestala. Uklanjanje provjere identiteta servera pretvara popravljiv problem profila u neverifikovani tunel, a to je upravo rizik koji je direktiva postojala da spriječi.

Ispravljen profil, lokalna izmjena ili stariji klijent

Kada server posjeduje neko drugi, najčišći put je aktuelni profil od njega. Vaša kopija dolazi iz starijeg generatora, a njegov izvoz već koristi trenutne direktive. Jedno preuzimanje uklanja cijelu kategoriju grešaka i drži buduće izmjene na jednom mjestu.

Kada posjedujete oba kraja, uredite kopiju i sačuvajte original. Promijenite jednu direktivu, sačuvajte, povežite se i zabilježite verziju klijenta koju ste testirali. Držite kratku bilješku uz svaku izmjenu, jer profil mijenjan kroz nekoliko sesija teško je revidirati po sjećanju. Pokretanje iz komandne linije nad izmijenjenom datotekom čini tu petlju brzom jer greška ide ravno u terminal.

Zaključavanje ili vraćanje na klijent prije 2.4 također uklanja poruku, a s uređajem koji nikada neće biti ažuriran to može biti jedino izvodljivo privremeno rješenje. Tretirajte ga kao privremeno: star klijent na savremenom računaru obično znači staru biblioteku i nepodržanu konfiguraciju, što je odgođen, a ne riješen problem.

Nakon što tunel oživi, pročitajte cijeli profil još jednom. Profili koji su nosili jednu uklonjenu direktivu često nose i drugu, a druga se pojavljuje tek nakon što prva nestane.