OpenVPN-ის შეცდომა: უცნობი არჩევანი tls-remote ან keysize

ჩვეულებრივ იწყება პროფილით, რომელიც წლების განმავლობაში უკავშირდებოდა, გაიხსნა უფრო ახალ კლიენტში და ვერ მუშაობს იმაზე ადრე, სანამ გვირაბი დაიწყება. ტერმინალი ბეჭდავს რაღაცას, როგორიცაა Options error: Unrecognized option ... in client.ovpn:130: tls-remote, ბოლოში ფრჩხილებში ვერსიით. წაიკითხეთ ეს პარსერის საჩივრად: ფაილი შეიცავს ინსტრუქციას, რომელსაც ეს კლიენტი აღარ იცნობს.

ეს ერთი შეტყობინება ხსნის, თუ რატომ არაფერს აკეთებს გასაღებების ხელახლა გენერაცია, პაროლის ხელახლა აკრეფა ან სერვერის შემოწმება. შეცდომა ხდება მაშინ, როცა კლიენტი კითხულობს საკუთარ კონფიგურაციას, სოკეტის გახსნამდე. სასარგებლო სამუშაოა უარყოფილი ინსტრუქციის იდენტიფიცირება და მისი მიმდინარე ეკვივალენტით შეცვლა.

წაიკითხეთ წარუმატებელი ხაზი, სანამ რამეს შეცვლით

გაუშვით კლიენტი თავად, ტრეის ხატულიდან გაშვების ნაცვლად, რათა შეტყობინება ხილული იყოს და პროფილის გზა ცალსახა იყოს. გახსენით ფაილი მითითებულ ხაზზე და შეხედეთ ტოკენს, რომელიც კლიენტმა დაასახელა. ხაზის ნომერი პროფილის ხაზია და არა ვერსია, რაც ადამიანებს აბნევს, რადგან იგივე რიცხვი ფრჩხილებში გამოცემის იდენტიფიკატორად ჩანს.

ძველი პროფილის გენერატორები ერთ ცუდ ინსტრუქციას კი არ გამოსცემდნენ, არამედ რამდენიმეს. გაასწორეთ პირველი შეცდომა, ხელახლა გაუშვით კლიენტი და მოელოდეთ შემდეგის გამოჩენას. ეს თანმიმდევრობა ნორმალურია და არ არის ნიშანი იმისა, რომ ცვლილებებმა საქმე გააუარესა.

რა მოუვიდა keysize-ს და tls-remote-ს

keysize ითხოვდა შიფრის გასაღების სიგრძეს იმ ეპოქაში, როცა პროფილი შიფრს ცალსახად ირჩევდა. OpenVPN 2.4-მა ის მოძველებულად გამოაცხადა, ხოლო გვიანდელმა კლიენტებმა ის არჩევანის ცხრილიდან ამოიღეს, ამიტომ პარსერი ახლა უარყოფს ხაზს იგნორირების ნაცვლად. თანამედროვე მოლაპარაკება გასაღების სიგრძეს არჩეული შიფრიდან იღებს, ამიტომ ინსტრუქციას სამართავი აღარაფერი დარჩა.

tls-remote 2.4-ში წაიშალა. ის სერვერის სერტიფიკატს მოსალოდნელ სახელს ადარებდა, და მისი შემცვლელია verify-x509-name, რომელიც უფრო მკაცრია იმაში, თუ როგორ მუსდება სახელი. ძველი ინსტრუქცია გაქრა, ამიტომ მისი მატარებელი პროფილი მიმდინარე კლიენტზე არასოდეს დაიპარსება.

გაასწორეთ თითო ინსტრუქცია თითო მცდელობაზე. თუ პროფილი ასევე მიუთითებს შიფრს, რომელსაც კლიენტი არ გვთავაზობს, ეს მოგვიანებით სხვა შეცდომას წარმოქმნის, და ორივე ცვლილების ერთ რედაქტირებაში შერევა შეუძლებელს ხდის იმის თქმას, რომელმა დაამსხვრია ხელის ჩამორთმევა. ყოველი რედაქტირების შემდეგ ხელახლა დაუკავშირდით და შეინახეთ შეცდომის ტექსტი. ეს ჩვევა ასევე ტოვებს მუშა სარეზერვო ვარიანტს, თუ რედაქტირებამ საქმე გააუარესა.

გადაწერეთ სერვერის იდენტობის შემოწმება

შემცვლელი იღებს მოსალოდნელ სახელს და შედარების რეჟიმს. verify-x509-name vpn.example.edu name მოითხოვს, რომ სერტიფიკატის სუბიექტი ზუსტად უდრიდეს ამ მნიშვნელობას. სხვა რეჟიმები ემთხვევა პრეფიქსს ან სრულ სუბიექტის სტრიქონს, და არასწორი რეჟიმის არჩევა მუშა პროფილს სუფთა ვერიფიკაციის წარუმატებლობად აქცევს.

თუ ძველი tls-remote არგუმენტი სერვერის სრული საერთო სახელი იყო, ზუსტი name შედარება ჩვეულებრივ სწორია. თუ ის ნაწილობრივი მნიშვნელობა იყო, გამოიყენეთ პრეფიქსის რეჟიმი მოსალოდნელი სახელის შემოკლების ნაცვლად, რადგან უფრო მოკლე ზუსტი დამთხვევა არ დადასტურდება. როცა საწყისი მნიშვნელობა დაწერილი არ არის, ჰკითხეთ სერვერის ოპერატორს სუბიექტის შესახებ, რომელსაც ისინი აქვეყნებენ.

ნუ გააჩუმებთ შემოწმებას, რომ შეცდომა გაქრეს. სერვერის იდენტობის დადასტურების მოშორება გამოსწორებად პროფილის პრობლემას დაუდასტურებელ გვირაბად აქცევს, და ეს არის ზუსტად ის რისკი, რომლის თავიდან ასაცილებლადაც ინსტრუქცია არსებობდა.

გასწორებული პროფილი, ლოკალური რედაქტირება ან ძველი კლიენტი

როცა სერვერი სხვას ეკუთვნის, ყველაზე სუფთა გზა მისგან მიღებული მიმდინარე პროფილია. თქვენი ასლი ძველი გენერატორიდან მოდის, ხოლო მათი ექსპორტი უკვე იყენებს მიმდინარე ინსტრუქციებს. ერთი ჩამოტვირთვა შლის შეცდომების მთელ კატეგორიას და სამომავლო რედაქტირებებს ერთ ადგილზე ინახავს.

როცა ორივე ბოლო თქვენია, შეასწორეთ ასლი და შეინახეთ ორიგინალი. შეცვალეთ ერთი ინსტრუქცია, შეინახეთ, დაუკავშირდით და ჩაწერეთ შემოწმებული კლიენტის ვერსია. ყოველი რედაქტირების გვერდით მოკლე შენიშვნა შეინახეთ, რადგან რამდენიმე სესიის განმავლობაში რედაქტირებული პროფილის მეხსიერებიდან აუდიტი რთულია. რედაქტირებულ ფაილზე ბრძანების ხაზიდან გაშვება ამ ციკლს აჩქარებს, რადგან შეცდომა პირდაპირ ტერმინალში მიდის.

2.4-მდე კლიენტზე მიმაგრება ან უკან დაბრუნება შეტყობინებასაც აქრობს, და იმ მოწყობილობით, რომელიც არასოდეს განახლდება, ეს შეიძლება იყოს ერთადერთი სიცოცხლისუნარიანი დროებითი ზომა. მოეპყარით მას როგორც დროებითს: ძველი კლიენტი მიმდინარე დესკტოპზე ჩვეულებრივ ნიშნავს ძველ ბიბლიოთეკას და მხარდაუჭერელ კონფიგურაციას, რაც გადავადებული და არა გადაწყვეტილი პრობლემაა.

მას შემდეგ, რაც გვირაბი ამოვა, კიდევ ერთხელ წაიკითხეთ მთელი პროფილი. პროფილები, რომლებსაც ერთი მოშორებული ინსტრუქცია ჰქონდათ, ხშირად მეორესაც ატარებენ, და მეორე მხოლოდ მას შემდეგ ჩნდება, რაც პირველი გაქრება.