OpenVPN-eraro: nekonata opcio tls-remote aŭ keysize

Ĝi kutime komenciĝas per profilo, kiu konektiĝis dum jaroj, malfermita en pli nova kliento, kaj malsukcesas antaŭ ol la tunelo eĉ komenciĝas. La terminalo presas ion kiel Options error: Unrecognized option ... in client.ovpn:130: tls-remote, kun versio en krampoj ĉe la fino. Legu ĝin kiel plendon de la sintaksa analizilo: la dosiero enhavas direktivon, kiun ĉi tiu kliento ne plu konas.

Tiu sola mesaĝo klarigas, kial regeneri ŝlosilojn, retajpi la pasvorton aŭ kontroli la servilon faras nenion. La fiasko okazas dum la kliento legas sian propran agordon, antaŭ ol ĝi malfermas ingon. La utila laboro estas identigi la malakceptitan direktivon kaj anstataŭigi ĝin per la nuna ekvivalento.

Legu la malsukcesan linion antaŭ ol ŝanĝi ion ajn

Rulu la klienton mem anstataŭ lanĉi ĝin el piktogramo en la sistemujo, por ke la mesaĝo estu videbla kaj la profila vojo estu senduba. Malfermu la dosieron ĉe la indikita linio kaj rigardu la ĵetonon, kiun la kliento nomis. La linnumero estas la profila linio, ne versio, kio konfuzas homojn ĉar la sama numero aperas en la krampoj kiel identigilo de eldono.

Malnovaj profilaj generatoroj ne eligis unu malbonan direktivon, sed plurajn. Riparu la unuan eraron, rerulu la klienton kaj atendu, ke aperos la sekva. Tiu sinsekvo estas normala kaj ne estas signo, ke la redaktoj plimalbonigis la aferojn.

Kio okazis al keysize kaj tls-remote

keysize postulis ĉifran ŝlosillongon en la epoko, kiam la profilo eksplicite elektis la ĉifron. OpenVPN 2.4 deklaris ĝin eksdata, kaj postaj klientoj forigis ĝin el la opcia tabelo, do la sintaksa analizilo nun malakceptas la linion anstataŭ ignori ĝin. Moderna intertraktado derivas la ŝlosillongon el la elektita ĉifro, kaj tial restas nenio por la direktivo regi.

tls-remote estis forigita en 2.4. Ĝi komparis la servilan atestilon kun atendata nomo, kaj ĝia anstataŭaĵo estas verify-x509-name, kiu estas pli strikta pri tio, kiel la nomo estas kongruigata. La malnova direktivo malaperis, do profilo, kiu portas ĝin, neniam estos analizata en nuna kliento.

Riparu unu direktivon po provo. Se la profilo ankaŭ specifas ĉifron, kiun la kliento ne proponas, tio produktas alian eraron poste, kaj miksi ambaŭ ŝanĝojn en unu redakto malebligas diri, kiu rompis la manpremon. Rekonektu post ĉiu redakto kaj konservu la erartekston. Tiu kutimo ankaŭ lasas funkciantan rezervon, se redakto plimalbonigas la aferojn.

Reskribu la kontrolon de servila identeco

La anstataŭaĵo prenas la atendatan nomon kaj komparan reĝimon. verify-x509-name vpn.example.edu name postulas, ke la subjekto de la atestilo egalu tiun valoron precize. Aliaj reĝimoj kongruigas prefikson aŭ plenan subjektan ĉenon, kaj elekti la malĝustan reĝimon transformas funkciantan profilon en puran kontrolfiaskon.

Se la malnova argumento tls-remote estis la plena komuna nomo de la servilo, preciza komparo name kutime pravas. Se ĝi estis parta valoro, uzu la prefiksan reĝimon anstataŭ mallongigi la atendatan nomon, ĉar pli mallonga preciza kongruo ne kontrolos. Kiam la origina valoro ne estas skribita, demandu tiun, kiu administras la servilon, pri la subjekto, kiun ili publikigas.

Ne silentigu la kontrolon por ke la eraro malaperu. Forigi la kontroladon de servila identeco transformas ripareblan profilan problemon en nekontrolitan tunelon, kio estas ĝuste la risko, kiun la direktivo ekzistis por malhelpi.

Riparita profilo, loka redakto aŭ pli malnova kliento

Kiam la servilo apartenas al iu alia, la plej pura vojo estas nuna profilo de tiu persono. Via kopio venas de pli malnova generatoro, kaj ilia eksporto jam uzas la nunajn direktivojn. Unu elŝuto forigas la tutan kategorion de eraroj kaj tenas estontajn redaktojn en unu loko.

Kiam vi posedas ambaŭ finojn, redaktu kopion kaj konservu la originalon. Ŝanĝu unu direktivon, konservu, konektu kaj notu la klientversion, kiun vi testis. Tenu mallongan noton apud ĉiu redakto, ĉar profilo redaktita dum pluraj seancoj estas malfacile aŭdebla el memoro. Komandliniaj ruloj kontraŭ la redaktita dosiero rapidigas tiun buklon, ĉar la eraro iras rekte al la terminalo.

Fiksi aŭ rulumi reen al kliento antaŭ 2.4 ankaŭ igas la mesaĝon malaperi, kaj kun aparato, kiu neniam estos ĝisdatigita, tio eble estas la sola farebla provizora solvo. Traktu ĝin kiel provizoran: malnova kliento sur nuna labortablo kutime signifas malnovan bibliotekon kaj ne subtenatan agordon, kio estas prokrastita, ne solvita problemo.

Post kiam la tunelo supreniras, legu la tutan profilon ankoraŭ unufoje. Profiloj, kiuj portis unu forigitan direktivon, ofte portas alian, kaj la dua montriĝas nur post kiam la unua malaperis.