Эски .ovpn профили Ubuntu 24.04'тө иштебейт: кайсы саптарды өчүрүү керек

Ubuntu 24.04 OpenVPN 2.6 менен келет, ал эми 2.4 үчүн экспорттолгон профиль алынып салынган параметрлерде токтойт. keysize жана ncp-disable өчүрүп, анан ns-cert-type оңдоңуз.

Профиль жүктөлүп, импорттолуп, анан файлдын 12-сабында Unrecognized option билдирүүсү менен токтойт, анда keysize аталат. Аккаунтта эч нерсе өзгөргөн жок, сервер башка кардарларды дагы эле кабыл алат. Өзгөргөн нерсе — кардардын өзү: Ubuntu 24.04 OpenVPN 2.6 орнотот, ал эми экспорт 2.4 үчүн жазылган. Оңдоо — өчүрүүлөрдүн кыска тизмеги, жана тартиби маанилүү, анткени ар бир эскирген параметр кийинкиси окулганга чейин талдоону токтотот.

Файлга тийүүдөн мурун ката сабын окуңуз

OpenVPN талдоо токтогон файлды жана сапты көрсөтөт, ошондуктан бир иштетүүдө бир гана маселени оңдой аласыз. Профилди иш тактасынын колдонмосунан эмес, терминалдан иштетиңиз, анткени колдонмо адатта stderrди жутуп коёт, ал эми сап номери — алган жалгыз ишенимдүү белги: sudo openvpn --config /etc/openvpn/client/provider.ovpn. Ошол сапты оңдоп, кайра иштетиңиз жана кийинки ийгиликсиздик башка параметрди атайт деп күтүңүз.

Талдоо катасы ар кандай TLS кол алышуусунан мурун пайда болот, ошондуктан сертификатты атаган билдирүү синтаксис баскычынан мурун эле өткөн. Бул айырма сизди аутентификацияда гана ийгиликсиз болгон файлды оңдоодон сактайт. Билдирүүнүн ортосун эмес, биринчи сөзүн окуңуз.

Үч ийгиликсиздик классы, үч башка оңдоо

Эски экспорттор үч айырмаланган жол менен ийгиликсиз болот, жана аларды бир маселеге бириктирүү адамдарды эч качан бузулбаган пакеттерди кайра орнотууга түртөт. Билдирүүнүн сөздөрү файлды ачканга чейин кайсы класста экениңизди айтат.

  • Талдоо каталары файлды жана сапты атайт жана эч кандай трафик пайда боло электе токтойт.
  • Сүйлөшүү каталары туташат, анан эки тарап жалпы шифрлоо же кабыл алынган маалымат каналы боюнча келише албаганын билдирет.
  • Аутентификация каталары эң алыска барат жана сертификатты, колдонуучуну же четке кагылган каттоо маалыматын атайт.

Профилди оңдоо биринчи классты гана оңдойт. Сүйлөшүү туннелдин эки учунда чечимди талап кылат, ал эми четке кагылган каттоо маалыматы такыр синтаксис маселеси эмес. Эгер билдирүүңүз жалпы шифрлоону же маалымат каналын атса, төмөнкү өчүрүүлөр эч нерсени өзгөртпөйт.

2.6 алып салган параметрлерди ушул тартипте өчүрүңүз

Бул саптардын ар бири талдоону өз алдынча токтотот, ошондуктан кардар аларды бир-бирден билдирет. Тизме менен ылдый жүрүңүз жана ар бир өчүрүүдөн кийин кайра иштетиңиз.

Адегенде keysize өчүрүңүз, анткени анын заманбап баламасы жок жана анын болушу адатта учурдагы кардар кандай болбосун четке кага турган шифрлоону билдирет. Анан ncp-disable өчүрүңүз, ал шифрлоо сүйлөшүүсүн башкарган, 2.5те эскирген жана 2.6да жок. ns-cert-type server ордуна remote-cert-tls server коюңуз, ал ошол эле ниетти колдоого алынган текшерүү аркылуу билдирет. 2.6 өзгөрүүлөр тарыхы калган өчүрүүлөрдү алардын алмаштыргычтарынын жанында тизмелейт, ошондуктан талдоочу дагы эле четке каккан нерсенин документтелген жообу бар.

Биринчи оңдоодон мурун түпнуска профилдин көчүрмөсүн сактаңыз. Провайдерлер экспортторду кайра жаратат, жана тийбеген файл менен diff — сиздин өзгөрүүлөрүңүздү алардыкынан ажыратуунун эң тез жолу. Эгер өчүрүү кардардын башталышына жол берсе, бирок туннель дагы эле ийгиликсиз болсо, сиз сүйлөшүү классына өттүңүз жана калган саптар себеп эмес. Кардардын версиясын файл атына коюңуз, кийинки адам оңдоолор кайсы чыгарылышка арналганын билсин.

BF-CBCни тек чектелген камдык вариант катары иштетиңиз

Кээ бир провайдерлер дагы эле BF-CBCде аяктайт, OpenVPN 2.6 аны менен жардамсыз сүйлөшпөйт, анткени шифрлоонун блогу 64 бит. Тар оңдоо — камдык тизме жана OpenSSLдин эски провайдери, бүт кардарды төмөндөтүү эмес.

providers legacy default
data-ciphers AES-256-GCM:AES-128-GCM
data-ciphers-fallback BF-CBC

Биринчи сап эски провайдерди жүктөйт, OpenSSL ошол шифрлоону дагы эле жарата алышы үчүн, экинчиси аны колдогон өнөктөштөр үчүн заманбап сүйлөшүүнү сактайт, ал эми үчүнчүсү сервер андан жакшыраак нерсе сунуштабаганда гана колдонулат. Бул туннелди атайын алсыратуу, ошондуктан файлдын жанына эмне үчүн бар экенин жазып коюңуз. Ошол эле учурда провайдерден кайра жаратылган экспорт сураңыз, анткени камдык вариант — көпүрө, максат эмес.

--compat-mode-ди универсалдуу жооп катары колдонбоңуз. Ал бир эле учурда бир нече жүрүм-турумду өзгөртөт, анын ичинде сүйлөшүү жана кайра сүйлөшүүнүн демейки маанилери, ошондуктан кайсы өзгөрүү маанилүү болгонун эч качан билбейсиз. Жогорудагы үч ачык сапты тандаңыз, анткени ар бири өз таасирин өзү айтат.

Кардар чындыгында жүктөгөн профиль менен текшериңиз

Импорттолгон туташуулар көбүнчө тутумдук папкага көчүрүлөт, ошондуктан жүктөө папкаңыздагы файлды оңдоо эч нерсени өзгөртпөшү мүмкүн. Иштеп жаткан көчүрмөнү табыңыз: sudo grep -rl "remote " /etc/NetworkManager/system-connections /etc/openvpn. Анан туннелди иштетип, чындыгында кайсы маалымат каналынын шифрлоосу тандалганын билдирген журнал сабын окуңуз. Камдык вариантта кол алышууну бүткөн туташуу сервер эч качан заманбап нерсе сунуштабаганын айтат.

Провайдер күткөн тармактан башка тармактан сынаңыз, ошентип туткун портал же чыпкаланган конок тармагы профилдин бузулушу болуп көрүнбөйт. Ар кандай колдоо өтүнүчү менен бирге кардардын версиясын жазып коюңуз.

Туннель көтөрүлгөндөн кийин андан өтүшү керек бир өтүнүч жана өтпөшү керек бир өтүнүч жөнөтүңүз, анан чечүүчүнүн жообу күткөнүңүздөй өзгөргөнүн ырастаңыз. Эгер профиль азыр талданып жатса, бирок туташуу дагы эле ийгиликсиз болсо, сиз синтаксис маселесин артка калтырдыңыз жана ката тексти жаңы классты атайт. Оңдолгон файлды версияларды башкарууда, максаттуу OpenVPN чыгарылышын атаган жазуу менен бирге сактаңыз.

Тектеш макалалар