El perfil .ovpn antic falla a Ubuntu 24.04: quines línies cal esborrar

El perfil es descarrega, s'importa i després s'atura a la línia 12 del fitxer amb un missatge Unrecognized option que anomena keysize. No ha canviat res del compte i el servidor continua acceptant altres clients. El que ha canviat és el client mateix: l'Ubuntu 24.04 instal·la OpenVPN 2.6, mentre que l'exportació es va escriure per a la 2.4. La reparació és una sèrie curta d'esborraments, i l'ordre importa perquè cada opció obsoleta avorta l'anàlisi abans que la següent arribi a llegir-se.

Llegiu la línia de l'error abans de tocar el fitxer

OpenVPN anomena el fitxer i la línia on s'ha aturat l'anàlisi, així que només podeu arreglar un problema per execució. Engegueu el perfil des d'un terminal i no des d'una miniaplicació d'escriptori, perquè la miniaplicació normalment empassa stderr i el número de línia és l'únic indicador fiable que rebreu: sudo openvpn --config /etc/openvpn/client/provider.ovpn. Arregleu aquesta línia, torneu a executar i espereu que la fallada següent anomeni una opció diferent.

Un error d'anàlisi sempre apareix abans de qualsevol intercanvi de claus TLS, així que un missatge que esmenta un certificat ja ha superat la fase de sintaxi. Aquesta distinció us evita editar un fitxer que només falla a l'autenticació. Llegiu la primera paraula del missatge i no el mig.

Tres classes de fallada, tres reparacions diferents

Les exportacions antigues fallen de tres maneres distinguibles, i ajuntar-les en un sol problema és el motiu pel qual la gent reinstal·la paquets que mai no havien estat trencats. La redacció del missatge us diu en quina classe esteu abans d'obrir el fitxer.

• Els errors d'anàlisi anomenen un fitxer i una línia, i s'aturen abans que existeixi cap trànsit.
• Els errors de negociació es connecten i després informen que els dos extrems no s'han posat d'acord en un xifratge compartit o en un canal de dades acceptable.
• Els errors d'autenticació arriben més lluny i anomenen un certificat, un usuari o una credencial rebutjada.

Editar el perfil només arregla la primera classe. La negociació necessita una decisió als dos extrems del túnel, i una credencial rebutjada no és cap problema de sintaxi. Si el vostre missatge esmenta un xifratge compartit o un canal de dades, els esborraments de sota no canviaran res.

Esborreu les opcions que la 2.6 va eliminar, en aquest ordre

Cada una d'aquestes línies atura l'anàlisi per si sola, així que el client les informa d'una en una. Baixeu per la llista i torneu a executar després de cada esborrament.

Esborreu primer keysize, perquè no té equivalent modern i la seva presència sol indicar un xifratge que el client actual refusa igualment. Després esborreu ncp-disable, que controlava la negociació de xifratges, va quedar obsolet a la 2.5 i ja no hi és a la 2.6. Substituïu ns-cert-type server per remote-cert-tls server, que expressa la mateixa intenció mitjançant una comprovació admesa. L'historial de canvis de la 2.6 llista les eliminacions restants al costat de les seves substitucions, així que tot el que l'analitzador encara rebutja té una resposta documentada.

Guardeu una còpia del perfil original abans de la primera edició. Els proveïdors regeneren les exportacions, i un diff contra el fitxer intacte és la manera més ràpida de separar els vostres canvis dels seus. Si un esborrament deixa el client arrencar però el túnel encara falla, heu passat a la classe de negociació i les línies restants no són la causa. Posa la versió del client al nom del fitxer perquè la propera persona sàpiga a quina versió apunten les edicions.

Mantingueu BF-CBC només com a alternativa limitada

Alguns proveïdors encara acaben la connexió amb BF-CBC, i OpenVPN 2.6 no hi negociarà sense ajuda perquè el xifratge té un bloc de 64 bits. La reparació estreta és una llista d'alternatives més el proveïdor llegat d'OpenSSL, no una baixada de versió de tot el client.

providers legacy default
data-ciphers AES-256-GCM:AES-128-GCM
data-ciphers-fallback BF-CBC

La primera línia carrega el proveïdor llegat perquè OpenSSL encara pugui instanciar aquest xifratge, la segona manté la negociació moderna per als parells que la suporten, i la tercera només s'aplica quan el servidor no ofereix res millor. És un debilitament deliberat del túnel, així que anoteu per què hi és al costat del fitxer. Demaneu alhora al proveïdor una exportació regenerada, perquè l'alternativa és un pont i no una destinació.

No recorreu a --compat-mode com a resposta universal. Canvia diversos comportaments alhora, inclosos els valors per defecte de negociació i renegociació, així que mai no sabreu quin canvi va ser el que importava. Preferiu les tres línies explícites de dalt, perquè cadascuna declara el seu propi efecte.

Verifiqueu amb el perfil que el client carrega de debò

Les connexions importades sovint es copien en un directori del sistema, així que editar el fitxer a la carpeta de baixades pot no canviar absolutament res. Trobeu la còpia que s'executa: sudo grep -rl "remote " /etc/NetworkManager/system-connections /etc/openvpn. Després engegueu el túnel i llegiu la línia del registre que informa de quin xifratge de canal de dades s'ha triat realment. Una connexió que completa l'intercanvi amb l'alternativa us diu que el servidor no va oferir mai res de modern.

Proveu des d'una xarxa que no sigui la que el proveïdor espera, perquè un portal captiu o una xarxa de convidats filtrada no es disfressin de fallada del perfil. Anoteu la versió del client al costat de qualsevol sol·licitud de suport.

Un cop el túnel és enlaire, envieu una sol·licitud que l'ha de travessar i una que no ho ha de fer, i confirmeu després que la resposta del resolutor ha canviat tal com esperàveu. Si el perfil ja s'analitza però la connexió encara falla, heu deixat enrere el problema de sintaxi i el text de l'error anomenarà la nova classe. Mantingueu el fitxer editat al control de versions al costat d'una nota que anomeni la versió d'OpenVPN a què apunta.