OpenVPN klaida: nežinoma parinktis tls-remote arba keysize

Paprastai viskas prasideda nuo profilio, kuris jungėsi metų metus, atidaryto naujesniame kliente, ir nepavyksta dar prieš pradedant tuneliui. Terminalas išspausdina maždaug tokį pranešimą: Options error: Unrecognized option ... in client.ovpn:130: tls-remote, o pabaigoje skliausteliuose nurodyta versija. Skaitykite tai kaip analizatoriaus skundą: faile yra direktyva, kurios šis klientas nebepažįsta.

Šis vienas pranešimas paaiškina, kodėl raktų regeneravimas, slaptažodžio įvedimas iš naujo ar serverio tikrinimas nieko neduoda. Klaida įvyksta, kai klientas skaito savo konfigūraciją, dar neatsidaręs lizdo. Naudingas darbas yra nustatyti atmestą direktyvą ir pakeisti ją dabartiniu atitikmeniu.

Perskaitykite nepavykusią eilutę prieš ką nors keisdami

Paleiskite klientą patys, o ne iš dėklų juostos piktogramos, kad pranešimas būtų matomas, o profilio kelias – vienareikšmis. Atidarykite failą nurodytoje eilutėje ir pažiūrėkite į žetoną, kurį klientas įvardijo. Eilutės numeris yra profilio eilutė, o ne versija, todėl žmonės painiojasi, nes tas pats skaičius skliausteliuose rodomas kaip leidimo identifikatorius.

Senieji profilių generatoriai išleisdavo ne vieną blogą direktyvą, o kelias. Ištaisykite pirmąją klaidą, paleiskite klientą iš naujo ir tikėkitės, kad pasirodys kita. Tokia seka yra normalu, ir tai nėra ženklas, kad pakeitimai viską pablogino.

Kas nutiko su keysize ir tls-remote

keysize reikalavo šifro raktų ilgio tuo metu, kai profilis šifrą rinkdavosi tiesiogiai. OpenVPN 2.4 paskelbė jį pasenusiu, o vėlesni klientai pašalino jį iš parinkčių lentelės, todėl analizatorius dabar atmeta eilutę, o ne ją ignoruoja. Šiuolaikinės derybos išveda rakto ilgį iš pasirinkto šifro, todėl direktyvai nebeliko ko valdyti.

tls-remote buvo pašalinta 2.4 versijoje. Ji lygino serverio sertifikatą su laukiamu vardu, o jos pakaitalas yra verify-x509-name, kuris griežčiau žiūri į tai, kaip vardas sutapatinamas. Senoji direktyva dingo, todėl profilis, kuris ją turi, niekada nebus išanalizuotas dabartiniame kliente.

Taisykite po vieną direktyvą per bandymą. Jei profilis taip pat nurodo šifrą, kurio klientas nesiūlo, tai vėliau sukelia kitą klaidą, o sumaišius abu pakeitimus viename taisyme neįmanoma pasakyti, kuris sulaužė rankos paspaudimą. Po kiekvieno taisymo prisijunkite iš naujo ir išsaugokite klaidos tekstą. Šis įprotis taip pat palieka veikiantį atsarginį variantą, jei taisymas viską pablogina.

Perrašykite serverio tapatybės patikrą

Pakaitalas priima laukiamą vardą ir palyginimo režimą. verify-x509-name vpn.example.edu name reikalauja, kad sertifikato subjektas būtų tiksliai lygus tai reikšmei. Kiti režimai sutapatina priešdėlį arba visą subjekto eilutę, o pasirinkus netinkamą režimą veikiantis profilis virsta švaria tikrinimo klaida.

Jei senasis tls-remote argumentas buvo visas bendrasis serverio vardas, tikslus name palyginimas paprastai yra teisingas. Jei tai buvo dalinė reikšmė, naudokite priešdėlio režimą, o ne trumpinkite laukiamą vardą, nes trumpesnis tikslus sutapimas nebus patikrintas. Kai pradinė reikšmė neužrašyta, paklauskite serverį valdančio asmens apie subjektą, kurį jie skelbia.

Neužtildykite patikros, kad klaida dingtų. Pašalinus serverio tapatybės tikrinimą, taisoma profilio problema virsta nepatikrintu tuneliu, ir būtent tai yra rizika, kurios direktyva buvo skirta išvengti.

Pataisytas profilis, vietinis taisymas arba senesnis klientas

Kai serveris priklauso kam nors kitam, švariausias kelias yra dabartinis profilis iš jo. Jūsų kopija atėjo iš senesnio generatoriaus, o jų eksportas jau naudoja dabartines direktyvas. Vienas atsisiuntimas pašalina visą klaidų kategoriją ir išlaiko būsimus taisymus vienoje vietoje.

Kai abu galai priklauso jums, taisykite kopiją ir išsaugokite originalą. Pakeiskite vieną direktyvą, išsaugokite, prisijunkite ir užrašykite išbandytą kliento versiją. Laikykite trumpą pastabą prie kiekvieno taisymo, nes profilį, taisytą per kelis seansus, sunku audituoti iš atminties. Komandinės eilutės paleidimai paredaguotam failui pagreitina šį ciklą, nes klaida patenka tiesiai į terminalą.

Prisegimas ar grįžimas prie kliento, senesnio nei 2.4, taip pat priverčia pranešimą dingti, o įrenginyje, kuris niekada nebus atnaujintas, tai gali būti vienintelis veikiantis laikinas sprendimas. Laikykite tai laikinu: senas klientas dabartiniame kompiuteryje paprastai reiškia seną biblioteką ir nepalaikomą konfigūraciją, o tai yra atidėta, o ne išspręsta problema.

Kai tunelis pakyla, dar kartą perskaitykite visą profilį. Profiliai, turėję vieną pašalintą direktyvą, dažnai turi ir kitą, o antroji pasirodo tik tada, kai pirmosios nebėra.