OpenVPN kļūda: nezināma opcija tls-remote vai keysize

Parasti tas sākas ar profilu, kas bija savienots gadiem ilgi, tiek atvērts jaunākā klientā un neizdodas vēl pirms tuneļa sākšanas. Terminālis izdrukā kaut ko līdzīgu Options error: Unrecognized option ... in client.ovpn:130: tls-remote, beigās iekavās norādot versiju. Lasiet to kā parsētāja sūdzību: failā ir direktīva, ko šis klients vairs nepazīst.

Šis viens ziņojums izskaidro, kāpēc atslēgu ģenerēšana no jauna, paroles atkārtota ievadīšana vai servera pārbaude neko nedod. Kļūda notiek, kamēr klients lasa savu konfigurāciju, pirms tas atver ligzdu. Noderīgais darbs ir identificēt noraidīto direktīvu un aizstāt to ar pašreizējo ekvivalentu.

Izlasiet neizdevušos rindu, pirms kaut ko maināt

Palaidiet klientu paši, nevis no paplātes ikonas, lai ziņojums būtu redzams un profila ceļš būtu viennozīmīgs. Atveriet failu norādītajā rindā un apskatiet žetonu, ko klients nosauca. Rindas numurs ir profila rinda, nevis versija, kas mulsina cilvēkus, jo tas pats skaitlis iekavās parādās kā laidiena identifikators.

Vecie profilu ģeneratori izdeva nevis vienu sliktu direktīvu, bet vairākas. Izlabojiet pirmo kļūdu, palaidiet klientu vēlreiz un gaidiet, ka parādīsies nākamā. Šī secība ir normāla, un tā nav zīme, ka izmaiņas visu pasliktināja.

Kas notika ar keysize un tls-remote

keysize pieprasīja šifra atslēgas garumu laikmetā, kad profils šifru izvēlējās tieši. OpenVPN 2.4 pasludināja to par novecojušu, un vēlākie klienti to izņēma no opciju tabulas, tāpēc parsētājs tagad noraida rindu, nevis ignorē to. Mūsdienu sarunas atvasina atslēgas garumu no izvēlētā šifra, tāpēc direktīvai vairs nav ko kontrolēt.

tls-remote tika izņemts 2.4 versijā. Tas salīdzināja servera sertifikātu ar gaidīto nosaukumu, un tā aizstājējs ir verify-x509-name, kas ir stingrāks attiecībā uz to, kā nosaukums tiek saskaņots. Vecā direktīva ir pazudusi, tāpēc profils, kurā tā ir, nekad netiks parsēts pašreizējā klientā.

Labojiet vienu direktīvu vienā mēģinājumā. Ja profils norāda arī šifru, ko klients nepiedāvā, tas vēlāk rada citu kļūdu, un abu izmaiņu sajaukšana vienā labojumā padara neiespējamu pateikt, kura salauza rokasspiedienu. Pēc katra labojuma pievienojieties no jauna un saglabājiet kļūdas tekstu. Šis ieradums arī atstāj strādājošu rezerves variantu, ja labojums visu pasliktina.

Pārrakstiet servera identitātes pārbaudi

Aizstājējs ņem gaidīto nosaukumu un salīdzināšanas režīmu. verify-x509-name vpn.example.edu name pieprasa, lai sertifikāta subjekts būtu precīzi vienāds ar šo vērtību. Citi režīmi saskaņo prefiksu vai pilnu subjekta virkni, un nepareiza režīma izvēle pārvērš strādājošu profilu tīrā verifikācijas kļūdā.

Ja vecais tls-remote arguments bija pilns servera vispārpieņemtais nosaukums, precīzs name salīdzinājums parasti ir pareizs. Ja tā bija daļēja vērtība, izmantojiet prefiksa režīmu, nevis saīsiniet gaidīto nosaukumu, jo īsāka precīza atbilstība netiks verificēta. Ja sākotnējā vērtība nav pierakstīta, pajautājiet servera operatoram subjektu, ko viņi publicē.

Neapklusiniet pārbaudi, lai kļūda pazustu. Servera identitātes verifikācijas noņemšana labojamu profila problēmu pārvērš neverificētā tunelī, un tas ir tieši tas risks, kura novēršanai direktīva pastāvēja.

Izlabots profils, vietējs labojums vai vecāks klients

Ja serveris pieder kādam citam, tīrākais ceļš ir pašreizējs profils no viņa. Jūsu kopija nāk no vecāka ģeneratora, un viņu eksports jau izmanto pašreizējās direktīvas. Viens lejupielāde novērš visu kļūdu kategoriju un saglabā turpmākos labojumus vienā vietā.

Ja abi gali pieder jums, labojiet kopiju un saglabājiet oriģinālu. Mainiet vienu direktīvu, saglabājiet, pievienojieties un pierakstiet pārbaudīto klienta versiju. Turiet īsu piezīmi pie katra labojuma, jo profilu, kas labots vairākās sesijās, ir grūti revidēt no atmiņas. Komandrindas palaidieni pret laboto failu padara šo cilpu ātru, jo kļūda nonāk tieši terminālī.

Piespraušana vai atritināšana uz klientu pirms 2.4 arī liek ziņojumam pazust, un ierīcē, kas nekad netiks atjaunināta, tas var būt vienīgais darboties spējīgais pagaidu risinājums. Uztveriet to kā pagaidu: vecs klients mūsdienu datorā parasti nozīmē vecu bibliotēku un neatbalstītu konfigurāciju, kas ir atlikta, nevis atrisināta problēma.

Kad tunelis paceļas, izlasiet visu profilu vēlreiz. Profili, kuros bija viena izņemta direktīva, bieži satur arī otru, un otrā parādās tikai pēc tam, kad pirmā ir pazudusi.