Profil .ovpn lama gagal di Ubuntu 24.04: baris mana yang harus dihapus

Profil diunduh, diimpor, lalu berhenti di baris 12 file dengan pesan Unrecognized option yang menyebut keysize. Tidak ada yang berubah pada akun, dan server masih menerima klien lain. Yang berubah adalah kliennya sendiri: Ubuntu 24.04 memasang OpenVPN 2.6, sedangkan ekspornya ditulis untuk 2.4. Perbaikannya adalah rangkaian penghapusan singkat, dan urutannya penting karena setiap opsi usang menghentikan penguraian sebelum opsi berikutnya sempat dibaca.

Baca baris kesalahan sebelum menyentuh file

OpenVPN menyebutkan file dan baris tempat penguraian berhenti, jadi Anda hanya bisa memperbaiki satu masalah per eksekusi. Jalankan profil dari terminal, bukan dari applet desktop, karena applet biasanya menelan stderr dan nomor baris adalah satu-satunya petunjuk andal yang Anda dapatkan: sudo openvpn --config /etc/openvpn/client/provider.ovpn. Perbaiki baris itu, jalankan lagi, dan harapkan kegagalan berikutnya menyebut opsi yang berbeda.

Kesalahan penguraian selalu muncul sebelum jabat tangan TLS apa pun, jadi pesan yang menyebut sertifikat sudah melewati tahap sintaksis. Perbedaan itu mencegah Anda menyunting file yang hanya gagal pada autentikasi. Bacalah kata pertama pesan itu, bukan bagian tengahnya.

Tiga kelas kegagalan, tiga perbaikan berbeda

Ekspor lama gagal dengan tiga cara yang bisa dibedakan, dan justru menyatukannya menjadi satu masalah itulah yang membuat orang memasang ulang paket yang tidak pernah rusak. Pilihan kata dalam pesan memberi tahu Anda kelas mana yang Anda hadapi sebelum membuka file.

• Kesalahan penguraian menyebut file dan baris, lalu berhenti sebelum ada lalu lintas sama sekali.
• Kesalahan negosiasi terhubung, lalu melaporkan bahwa kedua ujung tidak dapat menyepakati cipher bersama atau kanal data yang dapat diterima.
• Kesalahan autentikasi melangkah paling jauh dan menyebut sertifikat, pengguna, atau kredensial yang ditolak.

Penyuntingan profil hanya memperbaiki kelas pertama. Negosiasi membutuhkan keputusan di kedua ujung terowongan, dan kredensial yang ditolak sama sekali bukan masalah sintaksis. Jika pesan Anda menyebut cipher bersama atau kanal data, penghapusan di bawah tidak akan mengubah apa pun.

Hapus opsi yang dihilangkan 2.6, dalam urutan ini

Setiap baris ini menghentikan penguraian sendiri, jadi klien melaporkannya satu per satu. Telusuri daftar ke bawah dan jalankan ulang setelah setiap penghapusan.

Hapus keysize lebih dulu, karena tidak ada padanan modernnya dan keberadaannya biasanya menandai cipher yang tetap ditolak klien saat ini. Lalu hapus ncp-disable, yang mengendalikan negosiasi cipher, sudah usang di 2.5 dan hilang di 2.6. Ganti ns-cert-type server dengan remote-cert-tls server, yang menyatakan maksud yang sama lewat pemeriksaan yang didukung. Riwayat perubahan 2.6 mencantumkan penghapusan yang tersisa di samping penggantinya, jadi apa pun yang masih ditolak pengurai punya jawaban yang terdokumentasi.

Simpan salinan profil asli sebelum penyuntingan pertama. Penyedia membuat ulang ekspor, dan diff terhadap file yang belum disentuh adalah cara tercepat memisahkan perubahan Anda dari perubahan mereka. Jika penghapusan membuat klien bisa mulai tetapi terowongan tetap gagal, Anda sudah berpindah ke kelas negosiasi dan baris yang tersisa bukan penyebabnya. Taruh versi klien di nama file supaya orang berikutnya tahu ke rilis mana suntingan ini ditujukan.

Pertahankan BF-CBC hanya sebagai cadangan yang dibatasi

Sejumlah penyedia masih mengakhiri koneksi pada BF-CBC, yang tidak akan dinegosiasikan OpenVPN 2.6 tanpa bantuan karena cipher itu berblok 64 bit. Perbaikan sempitnya adalah daftar cadangan ditambah penyedia lawas OpenSSL, bukan penurunan versi seluruh klien.

providers legacy default
data-ciphers AES-256-GCM:AES-128-GCM
data-ciphers-fallback BF-CBC

Baris pertama memuat penyedia lawas agar OpenSSL masih dapat membuat cipher itu, baris kedua mempertahankan negosiasi modern untuk rekan yang mendukungnya, dan baris ketiga hanya berlaku ketika server tidak menawarkan yang lebih baik. Ini adalah pelemahan terowongan yang disengaja, jadi catat alasannya di samping file. Minta penyedia membuat ulang ekspor pada saat yang sama, karena cadangan hanyalah jembatan, bukan tujuan.

Jangan pakai --compat-mode sebagai jawaban menyeluruh. Opsi itu mengubah beberapa perilaku sekaligus, termasuk nilai bawaan negosiasi dan negosiasi ulang, sehingga Anda tidak akan pernah tahu perubahan mana yang penting. Pilih tiga baris eksplisit di atas, karena masing-masing menyatakan efeknya sendiri.

Verifikasi dengan profil yang benar-benar dimuat klien

Koneksi hasil impor sering disalin ke direktori sistem, jadi menyunting file di folder unduhan bisa sama sekali tidak berpengaruh. Temukan salinan yang berjalan: sudo grep -rl "remote " /etc/NetworkManager/system-connections /etc/openvpn. Lalu jalankan terowongan dan baca baris log yang melaporkan cipher kanal data yang benar-benar dipilih. Koneksi yang menyelesaikan jabat tangan pada cadangan memberi tahu Anda bahwa server tidak pernah menawarkan sesuatu yang modern.

Uji dari jaringan yang bukan jaringan yang diharapkan penyedia, supaya portal captive atau jaringan tamu yang tersaring tidak menyamar sebagai kerusakan profil. Catat versi klien bersama setiap permintaan dukungan.

Setelah terowongan naik, kirim satu permintaan yang harus melewatinya dan satu yang tidak boleh, lalu pastikan jawaban resolver berubah seperti yang Anda harapkan. Jika profil kini terurai tetapi koneksi masih gagal, Anda sudah meninggalkan masalah sintaksis dan teks kesalahan akan menyebut kelas baru. Simpan file yang disunting dalam kontrol versi bersama catatan yang menyebut rilis OpenVPN yang dituju.