Stari .ovpn profil ne radi na Ubuntu 24.04: koje retke izbrisati

Ubuntu 24.04 donosi OpenVPN 2.6, a profil izvezen za 2.4 pada na uklonjenim opcijama. Izbrišite keysize i ncp-disable, pa popravite ns-cert-type.

Profil se preuzima, uvozi i zatim staje na retku 12 datoteke s porukom Unrecognized option koja imenuje keysize. Ništa se na računu nije promijenilo, a poslužitelj i dalje prihvaća druge klijente. Promijenio se sam klijent: Ubuntu 24.04 instalira OpenVPN 2.6, dok je izvoz napisan za 2.4. Popravak je kratak niz brisanja, a redoslijed je važan jer svaka zastarjela opcija prekida raščlambu prije nego što se sljedeća uopće pročita.

Pročitajte redak s pogreškom prije nego dirnete datoteku

OpenVPN navodi datoteku i redak u kojem je raščlamba stala, pa možete popraviti samo jedan problem po pokretanju. Pokrenite profil iz terminala, a ne iz programčića na radnoj površini, jer programčić obično proguta stderr i broj retka jedini je pouzdan pokazatelj koji dobijete: sudo openvpn --config /etc/openvpn/client/provider.ovpn. Popravite taj redak, pokrenite ponovno i očekujte da će sljedeći neuspjeh navesti drugu opciju.

Pogreška raščlambe uvijek se pojavljuje prije bilo kakvog TLS rukovanja, pa je poruka koja spominje certifikat već prošla sintaksnu fazu. Ta razlika sprječava vas da uređujete datoteku koja pada samo na autentifikaciji. Čitajte prvu riječ poruke, a ne njezinu sredinu.

Tri razreda neuspjeha, tri različita popravka

Stari izvozi padaju na tri različita načina, a upravo ih stapanje u jedan problem navodi ljude da ponovno instaliraju pakete koji nikada nisu bili pokvareni. Formulacija poruke kaže vam u kojem ste razredu prije nego što otvorite datoteku.

  • Pogreške raščlambe navode datoteku i redak i zaustavljaju se prije nego što uopće nastane promet.
  • Pogreške pregovaranja povezuju se, a zatim javljaju da se dvije strane nisu mogle dogovoriti o zajedničkoj šifri ili prihvatljivom kanalu podataka.
  • Pogreške autentifikacije idu najdalje i navode certifikat, korisnika ili odbijene vjerodajnice.

Uređivanje profila popravlja samo prvi razred. Pregovaranje traži odluku na oba kraja tunela, a odbijene vjerodajnice nisu nikakav sintaksni problem. Ako vaša poruka spominje zajedničku šifru ili kanal podataka, brisanja ispod neće promijeniti ništa.

Izbrišite opcije koje je 2.6 uklonio, ovim redoslijedom

Svaki od ovih redaka zaustavlja raščlambu sam, pa ih klijent prijavljuje jedan po jedan. Prođite popisom i ponovno pokrenite nakon svakog brisanja.

Prvo izbrišite keysize, jer nema moderni ekvivalent i njegova prisutnost obično označava šifru koju trenutačni klijent ionako odbija. Zatim izbrišite ncp-disable, koji je upravljao pregovaranjem o šiframa, zastario je u 2.5 i nestao u 2.6. Zamijenite ns-cert-type server s remote-cert-tls server, koji izražava istu namjeru kroz podržanu provjeru. Povijest promjena 2.6 navodi preostala uklanjanja uz njihove zamjene, pa sve što raščlanjivač još odbija ima dokumentiran odgovor.

Sačuvajte kopiju izvornog profila prije prvog uređivanja. Pružatelji ponovno generiraju izvoze, a diff prema netaknutoj datoteci najbrži je način da odvojite svoje promjene od njihovih. Ako brisanje pusti klijent da se pokrene, ali tunel i dalje pada, prešli ste u razred pregovaranja i preostali retci nisu uzrok. Stavite verziju klijenta u naziv datoteke kako bi sljedeća osoba znala na koje se izdanje odnose izmjene.

Držite BF-CBC radnim samo kao ograničenu rezervu

Neki pružatelji još završavaju vezu na BF-CBC, s kojim se OpenVPN 2.6 neće pregovarati bez pomoći jer šifra ima 64-bitni blok. Uska popravka je popis rezervi plus stari OpenSSL pružatelj, a ne degradacija cijelog klijenta.

providers legacy default
data-ciphers AES-256-GCM:AES-128-GCM
data-ciphers-fallback BF-CBC

Prvi redak učitava stari pružatelj kako bi OpenSSL još mogao stvoriti tu šifru, drugi čuva moderno pregovaranje za partnere koji ga podržavaju, a treći se primjenjuje samo kad poslužitelj ne ponudi ništa bolje. To je namjerno slabljenje tunela, pa zapišite zašto postoji uz datoteku. Zatražite od pružatelja i ponovno generiran izvoz, jer je rezerva most, a ne odredište.

Ne posežite za --compat-mode kao univerzalnim odgovorom. On mijenja nekoliko ponašanja odjednom, uključujući zadane vrijednosti pregovaranja i ponovnog pregovaranja, pa nikada nećete naučiti koja je promjena bila važna. Radije koristite tri izričita retka iznad, jer svaki navodi vlastiti učinak.

Provjerite s profilom koji klijent doista učitava

Uvezene veze često se kopiraju u sistemski direktorij, pa uređivanje datoteke u vašoj mapi za preuzimanje možda ne mijenja baš ništa. Nađite kopiju koja se izvršava: sudo grep -rl "remote " /etc/NetworkManager/system-connections /etc/openvpn. Zatim pokrenite tunel i pročitajte redak u zapisniku koji javlja koja je šifra kanala podataka doista odabrana. Veza koja dovrši rukovanje na rezervi kaže vam da poslužitelj nikada nije ponudio ništa moderno.

Testirajte s mreže koja nije ona koju pružatelj očekuje, da se captive portal ili filtrirana gostujuća mreža ne predstave kao kvar profila. Zabilježite verziju klijenta uz svaki zahtjev za podrškom.

Kad je tunel podignut, pošaljite jedan zahtjev koji ga mora prijeći i jedan koji ne smije, pa potvrdite da se odgovor razrješivača promijenio kako ste očekivali. Ako se profil sada raščlanjuje, ali veza i dalje pada, ostavili ste sintaksni problem za sobom i tekst pogreške navest će novi razred. Držite uređenu datoteku u kontroli verzija uz napomenu koja navodi OpenVPN izdanje koje cilja.

Povezani članci