OpenVPN-feil: ukjent val tls-remote eller keysize

Det byrjar vanlegvis med ein profil som har kopla til i årevis, opna i ein nyare klient, og som feilar før tunnelen i det heile tek til. Terminalen skriv noko slikt som Options error: Unrecognized option ... in client.ovpn:130: tls-remote, med ein versjon i parentes på slutten. Les det som ei klage frå parsaren: fila inneheld eit direktiv som denne klienten ikkje lenger kjenner.

Den eine meldinga forklarer kvifor det ikkje hjelper å generere nøklar på nytt, skrive passordet igjen eller sjekke tenaren. Feilen oppstår medan klienten les si eiga konfigurering, før han opnar ein socket. Det nyttige arbeidet er å finne direktivet som vart avvist, og byte det ut med dagens ekvivalent.

Les linja som feilar før du endrar noko

Køyr klienten sjølv i staden for å starte han frå eit ikon i systemkurven, slik at meldinga er synleg og stien til profilen er eintydig. Opne fila på linja som er oppgitt, og sjå på tokenet klienten namngav. Linjenummeret er profillinja, ikkje ein versjon, og det lurar folk fordi det same talet står i parentesen som ein utgjevingsidentifikator.

Gamle profilgeneratorar skreiv ikkje eitt dårleg direktiv; dei skreiv fleire. Rett den første feilen, køyr klienten på nytt og vent at den neste dukkar opp. Den rekkjefølgja er normal og ikkje eit teikn på at endringane gjorde ting verre.

Kva som skjedde med keysize og tls-remote

keysize bad om ei nøkkellengd for chiffre i ei tid då profilen valde chiffre eksplisitt. OpenVPN 2.4 avvikla det, og seinare klientar fjerna det frå valtabellen, så parsaren avviser no linja i staden for å ignorere henne. Moderne forhandling utleier nøkkellengda frå chiffren som er vald, og difor er det ingenting att for direktivet å styre.

tls-remote vart fjerna i 2.4. Det samanlikna tenarsertifikatet med eit venta namn, og erstattaren er verify-x509-name, som er strengare på korleis namnet vert samanlikna. Det gamle direktivet er borte, så ein profil som har det med, vil aldri parsast av ein gjeldande klient.

Rett eitt direktiv per forsøk. Viss profilen òg angir ein chiffre som klienten ikkje tilbyr, gjev det ein annan feil seinare, og å blande begge endringane i éi redigering gjer det umogleg å sjå kva for ei som øydela handtrykket. Kopla til på nytt etter kvar endring og ta vare på feilteksten. Den vanen gjev òg ei fungerande tilbakefallsløysing viss ei endring gjer ting verre.

Skriv om kontrollen av tenaridentitet

Erstatninga tek det venta namnet og ein samanliknande modus. verify-x509-name vpn.example.edu name krev at subjektet i sertifikatet er nøyaktig lik den verdien. Andre modus matchar eit prefiks eller ein full subjektstreng, og å velje feil modus gjer ein fungerande profil om til ein rein verifiseringsfeil.

Viss det gamle tls-remote-argumentet var det fulle common name til tenaren, er ei nøyaktig name-samanlikning vanlegvis rett. Viss det var ein delvis verdi, bruk prefiksmodus i staden for å forkorte det venta namnet, fordi ein kortare nøyaktig match ikkje vil verifisere. Når den opphavlege verdien ikkje er skriven ned, spør den som driftar tenaren om subjektet dei publiserer.

Ikkje demp kontrollen for å få feilen til å forsvinne. Å fjerne verifiseringa av tenaridentitet gjer eit løysbart profilproblem om til ein uverifisert tunnel, som er nøyaktig risikoen direktivet fanst for å hindre.

Retta profil, lokal redigering eller eldre klient

Når nokon andre eig tenaren, er den reinaste vegen ein gjeldande profil frå dei. Din kopi kom frå ein eldre generator, og eksporten deira brukar allereie dei gjeldande direktiva. Éin nedlasting fjernar heile kategorien feil og held framtidige redigeringar på éin stad.

Når du eig båe endar, rediger ein kopi og hald på originalen. Endre eitt direktiv, lagre, kople til og noter klientversjonen du testa. Ha ein kort lapp ved kvar endring, fordi ein profil som er redigert over fleire økter er vanskeleg å revidere frå minnet. Køyring frå kommandolinja mot den redigerte fila gjer den løkka snøgg, fordi feilen går rett til terminalen.

Å feste eller rulle tilbake til ein klient før 2.4 får òg meldinga til å forsvinne, og med eit apparat som aldri vert oppdatert kan det vere den einaste brukbare naudløysinga. Handsame det som mellombels: ein gammal klient på ein gjeldande maskin tyder vanlegvis eit gammalt bibliotek og ei konfigurering utan støtte, som er eit problem utsett i staden for løyst.

Etter at tunnelen er oppe, les heile profilen éin gong til. Profilar som hadde eitt fjerna direktiv, har ofte eitt til, og det andre dukkar først opp når det første er borte.