Vecs .ovpn profils nedarbojas Ubuntu 24.04: kuras rindas dzēst

Profils tiek lejupielādēts, importēts un pēc tam apstājas faila rindā 12 ar Unrecognized option ziņojumu, kurā nosaukta keysize. Kontā nekas nav mainījies, un serveris joprojām pieņem citus klientus. Mainījies ir pats klients: Ubuntu 24.04 instalē OpenVPN 2.6, savukārt eksports bija rakstīts 2.4 versijai. Labojums ir īsa dzēšanu virkne, un secība ir svarīga, jo katra novecojusi opcija pārtrauc parsēšanu, pirms nākamā vispār tiek nolasīta.

Izlasi kļūdas rindu, pirms pieskarties failam

OpenVPN nosauc failu un rindu, kurā parsēšana apstājās, tāpēc vienā palaišanā var izlabot tikai vienu problēmu. Palaidiet profilu no termināļa, nevis no darbvirsmas sīklietotnes, jo sīklietotne parasti aprī stderr, un rindas numurs ir vienīgā uzticamā norāde, ko iegūstat: sudo openvpn --config /etc/openvpn/client/provider.ovpn. Izlabojiet šo rindu, palaidiet vēlreiz un gaidiet, ka nākamā kļūda nosauks citu opciju.

Parsēšanas kļūda vienmēr parādās pirms jebkuras TLS rokasspiediena, tāpēc ziņojums, kurā minēts sertifikāts, jau ir izgājis sintakses posmu. Šī atšķirība neļauj jums rediģēt failu, kas neizdodas tikai autentifikācijā. Lasiet ziņojuma pirmo vārdu, nevis tā vidu.

Trīs kļūdu klases, trīs dažādi labojumi

Veci eksporti neizdodas trīs atšķiramos veidos, un tieši to sapludināšana vienā problēmā liek cilvēkiem pārinstalēt pakotnes, kas nekad nav bijušas salauztas. Ziņojuma formulējums pasaka, kurā klasē jūs atrodaties, pirms atverat failu.

• Parsēšanas kļūdas nosauc failu un rindu un apstājas, pirms vispār rodas kāda datu plūsma.
• Sarunu kļūdas izveido savienojumu un pēc tam ziņo, ka abi gali nav vienojušies par kopīgu šifrējumu vai pieņemamu datu kanālu.
• Autentifikācijas kļūdas tiek vistālāk un nosauc sertifikātu, lietotāju vai noraidītu akreditācijas datu.

Profila rediģēšana izlabo tikai pirmo klasi. Sarunām vajadzīgs lēmums abos tuneļa galos, un noraidīti akreditācijas dati nepavisam nav sintakses problēma. Ja jūsu ziņojumā minēts kopīgs šifrējums vai datu kanāls, zemāk minētās dzēšanas neko nemainīs.

Dzēsiet opcijas, ko 2.6 noņēma, šādā secībā

Katra no šīm rindām patstāvīgi pārtrauc parsēšanu, tāpēc klients tās ziņo pa vienai. Ejiet sarakstu uz leju un pēc katras dzēšanas palaidiet vēlreiz.

Vispirms dzēsiet keysize, jo tam nav moderna ekvivalenta un tā klātbūtne parasti norāda uz šifrējumu, ko pašreizējais klients tik un tā noraida. Pēc tam dzēsiet ncp-disable, kas kontrolēja šifrējuma sarunas, kļuva novecojis 2.5 versijā un 2.6 versijā tā vairs nav. Aizstājiet ns-cert-type server ar remote-cert-tls server, kas izsaka to pašu nodomu ar atbalstītu pārbaudi. 2.6 izmaiņu vēsture uzskaita atlikušās noņemšanas līdzās to aizstājējiem, tāpēc visam, ko parsētājs vēl noraida, ir dokumentēta atbilde.

Pirms pirmās rediģēšanas saglabājiet oriģinālā profila kopiju. Pakalpojumu sniedzēji ģenerē eksportus no jauna, un diff pret neaizskarto failu ir ātrākais veids, kā atdalīt savas izmaiņas no viņu izmaiņām. Ja dzēšana ļauj klientam startēt, bet tunelis joprojām neizdodas, jūs esat pārgājuši uz sarunu klasi un atlikušās rindas nav cēlonis. Ielieciet klienta versiju faila nosaukumā, lai nākamā persona zinātu, uz kuru izlaidums attiecas labojumi.

Turiet BF-CBC darbojamies tikai kā ierobežotu rezerves variantu

Daži pakalpojumu sniedzēji joprojām beidz sesiju ar BF-CBC, par ko OpenVPN 2.6 bez palīdzības nevienosies, jo šifrējumam ir 64 bitu bloks. Šaurais labojums ir rezerves saraksts plus vecais OpenSSL sniedzējs, nevis visa klienta versijas pazemināšana.

providers legacy default
data-ciphers AES-256-GCM:AES-128-GCM
data-ciphers-fallback BF-CBC

Pirmā rinda ielādē veco sniedzēju, lai OpenSSL joprojām varētu izveidot šo šifrējumu, otrā saglabā modernas sarunas tiem partneriem, kas tās atbalsta, un trešā attiecas tikai tad, kad serveris nepiedāvā neko labāku. Tas ir apzināta tuneļa vājināšana, tāpēc blakus failam pierakstiet, kāpēc tas pastāv. Vienlaikus lūdziet pakalpojumu sniedzējam no jauna ģenerētu eksportu, jo rezerve ir tilts, nevis mērķis.

Neizmantojiet --compat-mode kā universālu atbildi. Tas maina vairākas uzvedības uzreiz, tostarp sarunu un atkārtotu sarunu noklusējumus, tāpēc jūs nekad neuzzināsiet, kura izmaiņa bija svarīga. Dodiet priekšroku trim skaidrajām rindām augstāk, jo katra norāda savu ietekmi.

Pārbaudiet ar profilu, ko klients patiešām ielādē

Importētie savienojumi bieži tiek kopēti sistēmas direktorijā, tāpēc lejupielāžu mapē esošā faila rediģēšana var neko nemainīt. Atrodiet kopiju, kas darbojas: sudo grep -rl "remote " /etc/NetworkManager/system-connections /etc/openvpn. Pēc tam palaidiet tuneli un izlasiet žurnāla rindu, kas ziņo, kurš datu kanāla šifrējums faktiski tika izvēlēts. Savienojums, kas pabeidz rokasspiedienu uz rezerves varianta, pasaka, ka serveris nekad nav piedāvājis neko modernu.

Testējiet no tīkla, kas nav tas, ko pakalpojumu sniedzējs sagaida, lai ierobežojošs portāls vai filtrēts viesu tīkls neuzdotos par profila kļūdu. Pierakstiet klienta versiju pie katra atbalsta pieprasījuma.

Kad tunelis ir pacelts, nosūtiet vienu pieprasījumu, kam tas jāšķērso, un vienu, kam nav, un pēc tam apstipriniet, ka atrisinātāja atbilde mainījās, kā gaidījāt. Ja profils tagad tiek parsēts, bet savienojums joprojām neizdodas, jūs esat atstājuši sintakses problēmu aiz muguras, un kļūdas teksts nosauks jauno klasi. Turiet rediģēto failu versiju kontrolē kopā ar piezīmi, kas nosauc mērķa OpenVPN izlaidumu.