OpenVPN-i viga: tundmatu valik tls-remote või keysize

Tavaliselt algab see profiiliga, mis on aastaid ühendunud, avatakse uuemas kliendis ja ebaõnnestub enne, kui tunnel üldse käivitub. Terminal väljastab midagi sellist nagu Options error: Unrecognized option ... in client.ovpn:130: tls-remote, versiooniga sulgudes lõpus. Lugege seda parseri kaebusena: fail sisaldab direktiivi, mida see klient enam ei tunne.

See üks sõnum selgitab, miks võtmete uuesti genereerimine, parooli uuesti sisestamine või serveri kontrollimine ei aita. Viga tekib siis, kui klient loeb omaenda konfiguratsiooni, enne pistiku avamist. Kasulik töö on tuvastada tagasilükatud direktiiv ja asendada see praeguse ekvivalentiga.

Lugege ebaõnnestuv rida enne, kui midagi muudate

Käivitage klient ise, mitte tegumiriba ikoonilt, et sõnum oleks nähtav ja profiili tee üheselt mõistetav. Avage fail näidatud real ja vaadake tokenit, mille klient nimetas. Rea number on profiili rida, mitte versioon, mis ajab inimesi segadusse, sest sama number esineb sulgudes väljaande identifikaatorina.

Vanad profiiligeneraatorid ei väljastanud ühte halba direktiivi, vaid mitut. Parandage esimene viga, käivitage klient uuesti ja oodake, et ilmub järgmine. See järjestus on normaalne ega ole märk sellest, et muudatused tegid asjad hullemaks.

Mis juhtus keysize ja tls-remote-iga

keysize nõudis šifri võtme pikkust ajastul, mil profiil valis šifri selgesõnaliselt. OpenVPN 2.4 kuulutas selle vananenuks ja hilisemad kliendid eemaldasid selle valikute tabelist, mistõttu parser nüüd lükkab rea tagasi, selle asemel et seda ignoreerida. Kaasaegne läbirääkimine tuletab võtme pikkuse valitud šifrist, mistõttu pole direktiivil enam midagi juhtida.

tls-remote eemaldati versioonis 2.4. See võrdles serveri sertifikaati oodatud nimega ja selle asendaja on verify-x509-name, mis on nime sobitamise viisi suhtes rangem. Vana direktiiv on kadunud, seega profiil, mis seda kannab, ei parsi kunagi praeguses kliendis.

Parandage üks direktiiv korraga. Kui profiil määrab ka šifri, mida klient ei paku, tekitab see hiljem teistsuguse vea, ja mõlema muudatuse segamine ühte redaktsiooni teeb võimatuks öelda, milline neist käepigistuse rikkus. Ühenduge uuesti pärast igat redaktsiooni ja hoidke veatekst alles. See harjumus jätab ka toimiva varuvariandi, kui muudatus teeb asjad hullemaks.

Kirjutage serveri identiteedi kontroll ümber

Asendaja võtab oodatud nime ja võrdlusrežiimi. verify-x509-name vpn.example.edu name nõuab, et sertifikaadi subjekt oleks täpselt selle väärtusega võrdne. Muud režiimid sobitavad eesliidet või tervet subjekti stringi, ja vale režiimi valimine muudab toimiva profiili puhtaks verifitseerimise veaks.

Kui vana tls-remote argument oli serveri täielik üldnimi, on täpne name võrdlus tavaliselt õige. Kui see oli osaline väärtus, kasutage eesliite režiimi, mitte lühendage oodatud nime, sest lühem täpne vaste ei verifitseeri. Kui algne väärtus pole kirja pandud, küsige serveri haldajalt subjekti, mille nad avaldavad.

Ärge summutage kontrolli, et viga kaoks. Serveri identiteedi verifitseerimise eemaldamine muudab parandatava profiiliprobleemi verifitseerimata tunneliks, mis on täpselt see risk, mille vältimiseks direktiiv olemas oli.

Parandatud profiil, kohalik muudatus või vanem klient

Kui server kuulub kellelegi teisele, on puhtaim tee temalt saadud praegune profiil. Teie koopia pärineb vanemast generaatorist ja nende eksport kasutab juba praeguseid direktiive. Üks allalaadimine kõrvaldab kogu veakategooria ja hoiab tulevased muudatused ühes kohas.

Kui mõlemad otsad on teie käes, muutke koopiat ja jätke originaal alles. Muutke üks direktiiv, salvestage, ühenduge ja kirjutage üles testitud kliendi versioon. Hoidke iga muudatuse kõrval lühike märkus, sest mitme seansi jooksul muudetud profiili on mälust raske auditeerida. Käsureakäivitus muudetud faili vastu teeb selle tsükli kiireks, sest viga läheb otse terminali.

Enne 2.4 klienti kinnitamine või tagasi pööramine paneb sõnumi samuti kaduma ja seadmes, mida kunagi ei uuendata, võib see olla ainus toimiv ajutine lahendus. Käsitlege seda ajutisena: vana klient praegusel töölauaarvutil tähendab tavaliselt vana teeki ja toetamata konfiguratsiooni, mis on edasilükatud, mitte lahendatud probleem.

Kui tunnel tõuseb, lugege kogu profiil veel kord läbi. Profiilid, mis kandsid üht eemaldatud direktiivi, kannavad sageli teist, ja teine ilmub alles pärast seda, kui esimene on kadunud.