Vana .ovpn-profiil ei tööta Ubuntu 24.04-l: millised read kustutada

Profiil laaditakse alla, imporditakse ja siis peatub faili real 12 teatega Unrecognized option, milles nimetatakse keysize. Kontoga pole midagi muutunud ja server võtab endiselt vastu teisi kliente. Muutunud on klient ise: Ubuntu 24.04 paigaldab OpenVPN 2.6, samas kui eksport kirjutati 2.4 jaoks. Parandus on lühike kustutuste jada ja järjekord on oluline, sest iga vananenud valik katkestab parsimise enne, kui järgmist üldse loetakse.

Lugege vearida enne, kui faili puudutate

OpenVPN nimetab faili ja rea, kus parsimine peatus, seega saate ühe käivituse kohta parandada ainult ühe probleemi. Käivitage profiil terminalist, mitte töölauarakendusest, sest rakendus neelab tavaliselt stderr'i ja reanumber on ainus usaldusväärne vihje, mille saate: sudo openvpn --config /etc/openvpn/client/provider.ovpn. Parandage see rida, käivitage uuesti ja oodake, et järgmine tõrge nimetab teist valikut.

Parsimisviga ilmub alati enne mis tahes TLS-kätlust, seega sertifikaati mainiv teade on süntaksifaasi juba läbinud. See eristus hoiab teid redigeerimast faili, mis ei ebaõnnestu ainult autentimisel. Lugege teate esimest sõna, mitte selle keskosa.

Kolm tõrke klassi, kolm erinevat parandust

Vanad ekspordid ebaõnnestuvad kolmel eristataval viisil ja just nende üheks probleemiks liitmine viib inimesed uuesti paigaldama pakette, mis polnud kunagi katki. Teate sõnastus ütleb teile, millises klassis olete, enne kui faili avate.

• Parsimisvead nimetavad faili ja rea ning peatuvad enne, kui liiklust üldse tekib.
• Läbirääkimisvead ühenduse loovad ja teatavad seejärel, et kaks poolt ei jõudnud kokkuleppele ühises šifris või vastuvõetavas andmekanalis.
• Autentimisvead jõuavad kõige kaugemale ja nimetavad sertifikaati, kasutajat või tagasilükatud mandaati.

Profiili redigeerimine parandab ainult esimese klassi. Läbirääkimine nõuab otsust tunneli mõlemas otsas ja tagasilükatud mandaat ei ole üldse süntaksiprobleem. Kui teie teade mainib ühist šifrit või andmekanalit, ei muuda allpool olevad kustutused midagi.

Kustutage valikud, mille 2.6 eemaldas, selles järjekorras

Igaüks neist ridadest peatab parsimise iseseisvalt, seega teatab klient neist ükshaaval. Liikuge nimekirjas allapoole ja käivitage pärast iga kustutust uuesti.

Kustutage esimesena keysize, sest sellel pole kaasaegset vastet ja selle olemasolu tähistab tavaliselt šifrit, mille praegune klient niikuinii tagasi lükkab. Seejärel kustutage ncp-disable, mis juhtis šifrite läbirääkimist, vananes versioonis 2.5 ja puudub versioonis 2.6. Asendage ns-cert-type server valikuga remote-cert-tls server, mis väljendab sama kavatsust toetatud kontrolli kaudu. 2.6 muudatuste ajalugu loetleb ülejäänud eemaldused nende asenduste kõrval, nii et kõigel, mida parser endiselt tagasi lükkab, on dokumenteeritud vastus.

Hoidke enne esimest redigeerimist originaalprofiilist koopiat. Teenusepakkujad loovad eksporte uuesti ja diff puutumata failiga on kiireim viis eraldada teie muudatused nende omadest. Kui kustutamine laseb kliendil käivituda, aga tunnel ikka ebaõnnestub, olete liikunud läbirääkimiste klassi ja ülejäänud read ei ole põhjus. Pange kliendi versioon failinimesse, et järgmine inimene teaks, millist väljalaset muudatused sihivad.

Hoidke BF-CBC töös ainult piiratud varuvariantidena

Mõned teenusepakkujad lõpetavad endiselt BF-CBC peal, millega OpenVPN 2.6 ei hakka ilma abita läbi rääkima, sest šifril on 64-bitine plokk. Kitsas parandus on varunimekiri pluss vana OpenSSL-i pakkuja, mitte kogu kliendi allaviimine.

providers legacy default
data-ciphers AES-256-GCM:AES-128-GCM
data-ciphers-fallback BF-CBC

Esimene rida laadib vana pakkuja, et OpenSSL saaks selle šifri ikka luua, teine säilitab kaasaegse läbirääkimise neile partneritele, kes seda toetavad, ja kolmas kehtib ainult siis, kui server ei paku midagi paremat. See on tunneli teadlik nõrgendamine, seega kirjutage faili kõrvale, miks see olemas on. Paluge pakkujalt samal ajal uuesti loodud eksporti, sest varuvariant on sild, mitte sihtkoht.

Ärge haarake --compat-mode universaalse vastusena. See muudab korraga mitut käitumist, sealhulgas läbirääkimise ja uuesti läbirääkimise vaikeväärtusi, nii et te ei saa kunagi teada, milline muudatus loeb. Eelistage kolme ülaltoodud selgesõnalist rida, sest igaüks neist teatab oma mõju.

Kontrollige profiiliga, mille klient tegelikult laadib

Imporditud ühendused kopeeritakse sageli süsteemikataloogi, seega allalaadimiskaustas oleva faili redigeerimine ei pruugi üldse midagi muuta. Leidke koopia, mis töötab: sudo grep -rl "remote " /etc/NetworkManager/system-connections /etc/openvpn. Seejärel käivitage tunnel ja lugege logirida, mis teatab, milline andmekanali šifer tegelikult valiti. Ühendus, mis lõpetab kätluse varuvariandi peal, ütleb teile, et server ei pakkunud kunagi midagi kaasaegset.

Testige võrgust, mis ei ole see, mida teenusepakkuja ootab, et captive portal või filtreeritud külalisvõrk ei esineks profiili tõrkena. Kirjutage kliendi versioon üles koos iga tugiteenuse taotlusega.

Kui tunnel on püsti, saatke üks taotlus, mis peab sellest läbi minema, ja üks, mis ei tohi, ning kinnitage seejärel, et resolveri vastus muutus ootuspäraselt. Kui profiil nüüd parsitakse, aga ühendus ikka ebaõnnestub, olete süntaksiprobleemi seljataha jätnud ja veatekst nimetab uue klassi. Hoidke redigeeritud fail versioonihalduses koos märkusega, mis nimetab sihitud OpenVPN-i väljalaset.