OpenVPN грешка: непозната опција tls-remote или keysize

Обично започнува со профил што се поврзувал со години, отворен во понов клиент, и не успева пред тунелот воопшто да започне. Терминалот печати нешто како Options error: Unrecognized option ... in client.ovpn:130: tls-remote, со верзија во загради на крајот. Читајте го како поплака од парсерот: датотеката содржи директива што овој клиент веќе не ја познава.

Оваа единствена порака објаснува зошто регенерирањето клучеви, повторното внесување лозинка или проверката на серверот не прават ништо. Неуспехот се случува додека клиентот ја чита сопствената конфигурација, пред да отвори сокет. Корисната работа е да се идентификува отфрлената директива и да се замени со тековниот еквивалент.

Прочитајте ја линијата што не успева пред да менувате нешто

Стартувајте го клиентот сами наместо од икона во системскиот сад, за пораката да биде видлива и патеката до профилот недвосмислена. Отворете ја датотеката на наведената линија и погледнете го токенот што клиентот го именуваше. Бројот на линијата е линија на профилот, не верзија, што ги збунува луѓето затоа што истиот број се појавува во заградите како идентификатор на изданието.

Старите генератори на профили не испраќаа една лоша директива, туку неколку. Поправете ја првата грешка, стартувајте го клиентот повторно и очекувајте да се појави следната. Таа низа е нормална и не е знак дека промените ја влошиле состојбата.

Што се случи со keysize и tls-remote

keysize бараше должина на клучот за шифра во ерата кога профилот ја избираше шифрата експлицитно. OpenVPN 2.4 го прогласи за застарен, а подоцнежните клиенти го отстранија од табелата со опции, па парсерот сега ја отфрла линијата наместо да ја игнорира. Современото преговарање ја изведува должината на клучот од избраната шифра, затоа на директивата не ѝ останало ништо да контролира.

tls-remote беше отстранет во 2.4. Тој го споредуваше сертификатот на серверот со очекувано име, а негова замена е verify-x509-name, кој е построг за тоа како се совпаѓа името. Старата директива исчезна, па профилот што ја носи никогаш нема да се парсира на тековен клиент.

Поправете по една директива на обид. Ако профилот исто така наведува шифра што клиентот не ја нуди, тоа подоцна создава друга грешка, а мешањето на двете промени во една исправка го прави невозможно да се каже која го скршила ракувањето. Поврзете се повторно по секоја исправка и зачувајте го текстот на грешката. Таа навика исто така остава работна резервна опција ако исправката ја влоши состојбата.

Препишете ја проверката на идентитетот на серверот

Замената ги зема очекуваното име и режимот на споредување. verify-x509-name vpn.example.edu name бара субјектот на сертификатот да биде точно еднаков на таа вредност. Другите режими совпаѓаат префикс или цела низа на субјект, а изборот на погрешен режим го претвора работниот профил во чиста верификациска грешка.

Ако стариот аргумент tls-remote беше целото заедничко име на серверот, точното споредување name обично е правилно. Ако тоа беше делумна вредност, користете го режимот на префикс наместо да го скратувате очекуваното име, бидејќи пократко точно совпаѓање нема да се верификува. Кога изворната вредност не е запишана, прашајте го операторот на серверот за субјектот што го објавуваат.

Не ја замолчувајте проверката за да исчезне грешката. Отстранувањето на верификацијата на идентитетот на серверот претвора поправлив проблем на профилот во неверификуван тунел, а тоа е точно ризикот што директивата постоела за да го спречи.

Поправен профил, локална исправка или постар клиент

Кога серверот е на некој друг, најчистиот пат е тековен профил од него. Вашата копија доаѓа од постар генератор, а нивниот извоз веќе ги користи тековните директиви. Едно преземање ја отстранува целата категорија грешки и ги држи идните исправки на едно место.

Кога ги поседувате двата краја, уредете копија и зачувајте го оригиналот. Сменете една директива, зачувајте, поврзете се и запишете ја тестираната верзија на клиентот. Држете кратка белешка до секоја исправка, затоа што профил уредуван низ неколку сесии тешко се ревидира од меморија. Извршувањето од командната линија врз уредената датотека ја забрзува таа јамка затоа што грешката оди право во терминалот.

Прицврстувањето или враќањето на клиент пред 2.4 исто така ја прави пораката невидлива, а со уред што никогаш нема да се ажурира тоа може да биде единственото изводливо привремено решение. Третирајте го како привремено: стар клиент на современ десктоп обично значи стара библиотека и неподдржана конфигурација, што е одложен, а не решен проблем.

Откако тунелот ќе се крене, прочитајте го целиот профил уште еднаш. Профилите што носеле една отстранета директива често носат и друга, а втората се појавува дури откако првата ќе исчезне.