key-method aus engem OpenVPN-Profil läschen ännert näischt

E Profil, deen zanter Joren funktionéiert huet, refuséiert op eemol ze starten, an d’Meldung nennt eng Direktiv, un déi sech kee méi erënnert, s’derbäi gesat ze hunn: key-method. Dat nächst Sichresultat proposéiert, key-method 2 fir d’Kompatibilitéit derbäizesetzen, wat en Rot aus enger anerer Zäit ass. De Parser, deen d’Zeil verworf huet, ass en aktuelle, an hien huet iwwerhaapt keng sou Optioun. D’Zeil läschen hëlleft beim Start, an et ännert näischt drun, wéi déi zwou Säiten d’Sessioun schützen.

Genau déi Kluft tëscht deem, wat e Profil enthält, a deem, wat de Protokoll tatsächlech mécht, ass hei d’Thema, an et erkläert e puer aner Ännerungen, déi d’Leit gläichzäiteg maachen. Et erkläert och, firwat déi Ännerungen normalerweis am Pak kommen.

D’Symptom ass e Parsefehler, keen Handshake-Feeler

Optioune gi gelies, ier en ettlech Pak gesent gëtt. E Profil mat enger onbekannter Direktiv fält an där Etapp aus, also erreecht de Prozess ni d’Netz a produzéiert ni en Handshake-Feeler. D’Formuléierung nennt normalerweis d’Optioun an d’Fichier, wat dëst zu engem vun deene Feeler mécht, déi sech am einfachsten zouuerdne loossen. Kee Pak, keng Route an keng Firewall sinn dobäi.

openvpn --config /etc/openvpn/client/office.ovpn --verb 3 --log /tmp/parse.log
grep -n 'Options error' /tmp/parse.log

Wann d’Meldung d’Direktiv nennt, ass d’Diagnos fäerdeg: d’Fichier enthält eppes, wat dëse Build net acceptéiert. Wann d’Meldung amplaz e Fichierpad nennt, ass de Problem en feelenden Include oder Schlëssel, wat en aneren Deel vun der selwechter Startphas ass.

Wat Dir net sollt doraus schléissen, ass datt de Client oder de Server e méi ale Protokollmodus brauch. E Parsefehler ass e Vokabularproblem tëscht Ärer Fichier an dem Binär, an de Binär huet an dësem Fall einfach e Wuert aus sengem Vokabular fale gelooss.

Direktiv a Iwwerdroungsformat sinn zwee verschidden Saachen

Déi al key-method-Optioun huet gewielt, wéi den TLS-Schlësselaustausch gerammt gëtt, an den moderne Austausch ass déi Méipake-Method, déi déi Optioun fréier gefrot huet. D’Optioun ass fort, well se näischt méi gewielt huet; d’Format, dat se genannt huet, gouf dat eenzegt. D’Zeil läschen hannerléisst d’Sessioun also mat der selwechter Rammung wéi virdrun. Eng Textännerung kann dat a keng Richtung ändern.

Dofir ass et déi falsch Reparatur, eng al Binär erëm anzeféieren, fir d’Method 2 „erëmzestellen“. Et stellt näischt erëm ausser engem méi ale Parser mat méi ale Standardwäerter, an et kascht Iech d’Korrekturen, déi duerno koumen. Déiselwecht Logik gëllt fir eng Zertifikatskontroll oder eng Chiffreslëscht ze schwächen an der Hoffnung, datt d’Verbindung erëmkënnt.

Eng nëtzlech Kontroll ass d’Versioun an d’geparste Konfiguratioun, net d’Präsenz vum Wuert an der Fichier:

openvpn --version | head -n 1
grep -rn 'key-method' /etc/openvpn/ 2>/dev/null

Wat ewechhuelen, a vun wéi enger Fichier

Ännert déi Fichier, déi de lafende Prozess tatsächlech liest, an nëmmen déi. Op gepackte Systemer ass dat normalerweis de Profil am Client- oder Serververzeechnis, deen d’Unit nennt, net eng Kopie an Ärem Heemverzeechnis, déi Dir als Referenz behält. E generéierte Profil kann och aus enger Schabloun nei gebaut ginn, also kënnt eng Ännerung, déi nëmmen op der deployéierter Kopie gemaach gouf, no dem nächste Provisionnement erëm.

Läscht déi veralt Zeil a loost den Endpunkt, d’Zertifikater, d’Chiffrespolitik an d’Astellunge vum Kontrollkanal a Rou. Dat sinn ënnerstëtzten Optiounen, déi de Prozess brauch, an se sinn net am Parsefehler implizéiert. Wann dee selwechte Profil aner Direktive enthält, déi Dir net erkennt, kontrolléiert jidderee géint d’Versioun, déi Dir lafe loosst, amplaz eng Grupp dovun ze läschen, bis de Prozess start.

Startt dann déi virgesinn Instanz a liest hiren Startoutput. En proppere Start mam Listener ass d’Bestätegung, datt dës Phas fäerdeg ass; en Clienttest duerno beäntwert eng aner Fro.

E verworfene Profil an e verworfene Client gesinn ähnlech aus

Zwee Feeler produzéieren ähnlech Support-Threads a brauchen ënnerschiddlech Beweiser. E Server, deen seng eegen Konfiguratioun verwërft, start ni, also kann kee Client sech domat verbannen. E Server, dee gutt start an een Client verwërft, leeft, an a sengem Log steet de Grond: e Zertifikatsproblem, eng gepusht Optioun, déi de Client net acceptéiert, eng Chiffresdiskrepanz.

Déi ewechgeholl Optioun ass keng Diagnos fir den zweeten Fall, an dodrop ze gräifen verschwendaert déiselwecht Stonn zweemol. Wann de Clientlog d’Oflehnung vum Server weist, liest déi Oflehnung; wann en e lokale Feeler weist, ass de Clientprofil d’Fichier, déi ze kontrolléieren ass. Op eng Direktiv ze gräifen, déi et net méi gëtt, verspéit béid Enquêten ëm déi selwecht Quantitéit.

Kompatibilitéitsfroen, déi d’Zeil ni beäntwert huet

Profiler, déi mat dëser Direktiv zirkuléieren, droen normalerweis eng Geschicht iwwer eng bestëmmte Plattform, an d’Geschicht iwwerlieft den technesche Grond. E mobilen oder Desktop-Client brauch nach ëmmer e vollstännegen ënnerstëtzte Profil: eng vertrauenswürdeg Zertifikatskette, eng Datechiffre, déi béid Enner acceptéieren, e Kontrollkanalmodus, deen béid Enner ëmsetzen, an keng Direktiven, déi de Build vum Client verwërft. Nee vun deene gëtt duerch d’Präsenz oder d’Absenz vun der aler key-method-Zeil decidéiert.

Kompressioun ass eng separat Politiksfro mat der selwechter Form. Eng key-method-Zeil ewechhuelen seet näischt doriwwer, ob eng Kompressiounsdirektiv an Ärer Deployement ënnerstëtzt oder akzeptabel ass, an déi zwou Entscheidungen sollte onofhängeg getraff ginn. Verschidde sécherheetsrelevant Astellungen op eemol läschen, bis eppes sech verbënnt, ass de Wee, wéi en funktionéierende Profil zu engem onerklärten gëtt.

Halt eng kuerz Notiz dovu, wat Dir ewechgeholl hutt a firwat: d’Optioun, d’Versioun, déi se verworf huet, an de Kommando, deen de Feeler gewisen huet. Déi nächst Persoun, déi de Profil ierft, brauch genee déi dräi Fakten, an se elo opzeschreiwen ass méi bëlleg wéi se spéider ze rekonstruéieren.