key-method fuorthelje út in OpenVPN-profyl feroaret neat

In profyl dat jierren wurke hat, wegeret ynienen te starten, en it berjocht neamt in rjochtline dy't nimmen him herinnert tafoege te hawwen: key-method. It folgjende sykresultaat stelt foar om key-method 2 ta te foegjen foar kompatibiliteit, dat is advys út in oar tiidrek. De parser dy't de rigel wegere is in hjoeddeiske, en hy hat hielendal gjin sa'n opsje. It fuortheljen fan de rigel reparearret it starten, en it feroaret neat oan hoe't de beide pearen de sesje beskermje.

Dat gat tusken wat in profyl befettet en wat it protokol eins docht is it hiele ûnderwerp hjir, en it ferklearret ferskate oare bewurkings dy't minsken tagelyk dogge. It ferklearret ek wêrom't dy bewurkings meastentiids as in bondel komme.

It symptoom is in parseflater, net in mislearre hânskud

Opsjes wurde lêzen foar't der in pakket ferstjoerd wurdt. In profyl mei in ûnbekende rjochtline mislearret yn dy faze, sadat it proses nea it netwurk berikt en nea in hânskudflater produsearret. De bewurding neamt meastentiids de opsje en it bestân, wat dit ien fan 'e maklikst ta te skriuwen flaters makket. Der binne gjin pakket, rûte of firewall by belutsen.

openvpn --config /etc/openvpn/client/office.ovpn --verb 3 --log /tmp/parse.log
grep -n 'Options error' /tmp/parse.log

As it berjocht de rjochtline neamt, is de diagnoaze dien: it bestân befettet eat dat dizze build net akseptearret. As it berjocht ynstee in bestânspaad neamt, is it probleem in ûntbrekkende include of kaai, dat is in oar diel fan deselde startfaze.

Wat jo net konkludearje moatte, is dat de klant of server in âlder protokolmodus nedich hat. In parseflater is in wurdskatprobleem tusken jo bestân en it binêre bestân, en it binêre bestân hat yn dit gefal gewoan in wurd út syn wurdskat smiten.

Rjochtline en oerdrachtformaat binne twa ferskate dingen

De âlde key-method-opsje keas hoe't de TLS-kaai-útwikseling ynramme wurdt, en de moderne útwikseling is de metoade mei meardere pakketten dy't dy opsje eartiids frege. De opsje ferdwûn om't er neat mear keas; it formaat dat er neamde waard it iennichste. It fuortheljen fan de rigel lit de sesje dus mei deselde ynramming as earder. In tekstbewurking kin dat yn gjin inkelde rjochting feroarje.

Dêrom is it opnij ynfiere fan in âld binêr bestân om metoade 2 te «hersteljen» de ferkearde reparaasje. It herstelt neat oars as in âldere parser mei âldere standertwearden, en it kostet jo de reparaasjes dy't dêrnei kamen. Deselde redenaasje jildt foar it ferswakjen fan in sertifikaatkontrôle of in siferlist yn 'e hope dat de ferbining weromkomt.

In nuttige kontrôle is de ferzje en de parste konfiguraasje, net de oanwêzigens fan it wurd yn it bestân:

openvpn --version | head -n 1
grep -rn 'key-method' /etc/openvpn/ 2>/dev/null

Wat fuorthelje, en út hokker bestân

Bewurkje it bestân dat it rinnende proses eins lêst, en allinnich dat bestân. Op pakkette systemen is dat meastentiids it profyl yn 'e klant- of servermap dy't de unit neamt, net in kopy yn jo thúsmap dy't jo foar referinsje hâlde. In generearre profyl kin ek út in sjabloan werboud wurde, dus in wiziging dy't allinnich oan 'e útrôle kopy dien is, sil nei de folgjende provisioning-run weromkomme.

Wiskje de ferâldere rigel en lit it einpunt, sertifikaten, siferbelied en ynstellings fan it kontrôlekanaal gewurde. Dat binne stipe opsjes dy't it proses nedich hat, en se binne net by de parseflater belutsen. As itselde profyl oare rjochtlinen befettet dy't jo net werkennen, kontrolearje dan elk tsjin de ferzje dy't jo rinne, ynstee fan in groep derfan te wiskjen oant it proses start.

Start dan de bedoelde eksimplaar en lês syn startútfier. In skjinne start mei de listener oanwêzich is de befêstiging dat dizze faze klear is; in klanttest dêrnei beantwurdet in oare fraach.

In wegere profyl en in wegere klant lykje opinoar

Twa flaters produsearje ferlykbere stipe-triedden en hawwe ferskate bewiis nedich. In server dy't syn eigen konfiguraasje wegeret, start nea, sadat gjin inkele klant him ferbine kin. In server dy't goed start en ien klant wegeret, rint, en syn log befettet de reden: in sertifikaatprobleem, in treaune opsje dy't de klant net akseptearret, in siferôfwiking.

De fuorthelle opsje is gjin diagnoaze foar it twadde gefal, en dernei gripe fergriemt itselde oere twa kear. As it klantlog de wegering fan 'e server sjen lit, lês dy wegering; as it in lokale flater sjen lit, is it klantprofyl it bestân om te ûndersykjen. Gripe nei in rjochtline dy't net mear bestiet, fertraget beide ûndersiken likefolle.

Kompatibiliteitsfragen dy't de rigel nea beantwurde

Profylen dy't mei dizze rjochtline sirkulearje, drage meastentiids in ferhaal oer in bepaald platfoarm, en it ferhaal oerlibbet de technyske reden. In mobile of desktop-klant hat noch altyd in folslein stipe profyl nedich: in fertroud sertifikaatkeatling, in datasifer dy't beide einen akseptearje, in kontrôlekanaalmodus dy't beide einen ymplementearje, en gjin rjochtlinen dy't de build fan 'e klant wegeret. Net ien fan dy wurdt besletten troch de oanwêzigens of ôfwêzigens fan 'e âlde key-method-rigel.

Kompresje is in apart beliedsfraach mei deselde foarm. It fuortheljen fan in key-method-rigel seit neat oer oft in kompresjerjochtline stipe of akseptabel is yn jo ynset, en de beide besluten moatte ûnôfhinklik nommen wurde. Ferskate feiligensrelevante ynstellings tagelyk wiskje oant eat ferbynt, is hoe't in wurkjend profyl in ûnferklearre wurdt.

Hâld in koarte notysje by fan wat jo fuorthelle hawwe en wêrom: de opsje, de ferzje dy't him wegere, en it kommando dat de flater sjen liet. De folgjende persoan dy't it profyl erft, hat krekt dy trije feiten nedich, en se no opskriuwe is goedkeaper as se letter wer opbouwe.