OpenVPN-virhe: tuntematon asetus tls-remote tai keysize

Se alkaa yleensä profiilista, joka on ollut yhteydessä vuosia, avataan uudemmassa asiakkaassa ja epäonnistuu ennen kuin tunneli ehtii edes käynnistyä. Pääte tulostaa jotain sellaista kuin Options error: Unrecognized option ... in client.ovpn:130: tls-remote, ja lopussa on versio suluissa. Lue se jäsentimen valituksena: tiedostossa on direktiivi, jota tämä asiakas ei enää tunne.

Tämä yksi viesti selittää, miksi avainten uudelleenluonti, salasanan uudelleenkirjoitus tai palvelimen tarkistaminen ei tee mitään. Virhe tapahtuu, kun asiakas lukee omaa kokoonpanoaan, ennen kuin se avaa pistokkeen. Hyödyllinen työ on tunnistaa hylätty direktiivi ja korvata se nykyisellä vastineella.

Lue epäonnistuva rivi ennen kuin muutat mitään

Käynnistä asiakas itse sen sijaan, että käynnistäisit sen ilmaisinalueen kuvakkeesta, jotta viesti on näkyvissä ja profiilin polku on yksiselitteinen. Avaa tiedosto ilmoitetulla rivillä ja katso tokenia, jonka asiakas nimesi. Rivinumero on profiilin rivi, ei versio, mikä hämmentää ihmisiä, koska sama numero näkyy suluissa julkaisun tunnisteena.

Vanhat profiiligeneraattorit eivät tuottaneet yhtä huonoa direktiiviä, vaan useita. Korjaa ensimmäinen virhe, käynnistä asiakas uudelleen ja odota, että seuraava ilmestyy. Tämä järjestys on normaali eikä merkki siitä, että muutokset pahensivat asioita.

Mitä keysizelle ja tls-remotelle tapahtui

keysize vaati salausavaimen pituuden aikana, jolloin profiili valitsi salauksen nimenomaisesti. OpenVPN 2.4 ilmoitti sen vanhentuneeksi, ja myöhemmät asiakkaat poistivat sen asetusvalikosta, joten jäsennin nyt hylkää rivin sen sijaan, että jättäisi sen huomiotta. Nykyaikainen neuvottelu johtaa avaimen pituuden valitusta salauksesta, minkä vuoksi direktiiville ei jää mitään ohjattavaa.

tls-remote poistettiin versiossa 2.4. Se vertasi palvelimen varmennetta odotettuun nimeen, ja sen korvaaja on verify-x509-name, joka on tiukempi siinä, miten nimi sovitetaan. Vanha direktiivi on poissa, joten profiili, joka sisältää sen, ei koskaan jäsenny nykyisessä asiakkaassa.

Korjaa yksi direktiivi kerrallaan. Jos profiili määrittää myös salauksen, jota asiakas ei tarjoa, se tuottaa myöhemmin toisen virheen, ja molempien muutosten sekoittaminen yhteen muokkaukseen tekee mahdottomaksi sanoa, kumpi rikkoi kättelyn. Yhdistä uudelleen jokaisen muokkauksen jälkeen ja säilytä virheteksti. Tämä tapa jättää myös toimivan varavaihtoehdon, jos muokkaus pahentaa asioita.

Kirjoita palvelimen identiteettitarkistus uudelleen

Korvaaja ottaa odotetun nimen ja vertailutilan. verify-x509-name vpn.example.edu name edellyttää, että varmenteen subjekti on täsmälleen sama kuin kyseinen arvo. Muut tilat sovittavat etuliitteen tai täyden subjektimerkkijonon, ja väärän tilan valitseminen muuttaa toimivan profiilin puhtaaksi varmennusvirheeksi.

Jos vanha tls-remote-argumentti oli palvelimen täydellinen yleisnimi, tarkka name-vertailu on yleensä oikein. Jos se oli osittainen arvo, käytä etuliitetilaa odotetun nimen lyhentämisen sijaan, koska lyhyempi tarkka vastine ei vahvista. Kun alkuperäistä arvoa ei ole kirjoitettu, kysy palvelinta ylläpitävältä subjektia, jonka he julkaisevat.

Älä vaienna tarkistusta, jotta virhe katoaisi. Palvelimen identiteettivarmennuksen poistaminen muuttaa korjattavan profiiliongelman vahvistamattomaksi tunneliksi, ja juuri se on riski, jonka estämiseksi direktiivi oli olemassa.

Korjattu profiili, paikallinen muokkaus vai vanhempi asiakas

Kun palvelin kuuluu jollekulle toiselle, puhtain polku on häneltä saatava ajantasainen profiili. Kopiosi tulee vanhemmasta generaattorista, ja heidän vientinsä käyttää jo nykyisiä direktiivejä. Yksi lataus poistaa koko virheluokan ja pitää tulevat muokkaukset yhdessä paikassa.

Kun omistat molemmat päät, muokkaa kopiota ja säilytä alkuperäinen. Muuta yhtä direktiiviä, tallenna, yhdistä ja kirjaa testaamasi asiakasversio. Pidä lyhyt muistiinpano jokaisen muokkauksen vieressä, koska usean istunnon aikana muokattua profiilia on vaikea auditoida muistista. Komentoriviajot muokattua tiedostoa vasten tekevät tästä silmukasta nopean, koska virhe menee suoraan päätteeseen.

Kiinnittäminen tai palaaminen 2.4:ää vanhempaan asiakkaaseen saa myös viestin katoamaan, ja laitteessa, jota ei koskaan päivitetä, se voi olla ainoa toimiva hätäratkaisu. Käsittele sitä väliaikaisena: vanha asiakas nykyaikaisella työpöydällä tarkoittaa yleensä vanhaa kirjastoa ja tukematonta kokoonpanoa, mikä on lykätty eikä ratkaistu ongelma.

Kun tunneli nousee, lue koko profiili vielä kerran. Profiilit, joissa oli yksi poistettu direktiivi, sisältävät usein toisen, ja toinen paljastuu vasta, kun ensimmäinen on poissa.