OpenVPN greška: nepoznata opcija tls-remote ili keysize

Obično počinje profilom koji se godinama spajao, otvorenim u novijem klijentu, i pada prije nego što tunel uopšte krene. Terminal ispisuje nešto poput Options error: Unrecognized option ... in client.ovpn:130: tls-remote, s verzijom u zagradama na kraju. Čitajte to kao žalbu parsera: datoteka sadrži direktivu koju ovaj klijent više ne poznaje.

Ta jedna poruka objašnjava zašto ponovno generisanje ključeva, ponovno upisivanje lozinke ili provjera servera ništa ne rade. Greška se javlja dok klijent čita vlastitu konfiguraciju, prije nego što otvori socket. Koristan posao je prepoznati odbijenu direktivu i zamijeniti je trenutnim ekvivalentom.

Pročitajte liniju koja pada prije nego što bilo šta uredite

Pokrenite klijent sami umjesto da ga lansirate iz ikone u traci, kako bi poruka bila vidljiva i putanja do profila nedvosmislena. Otvorite datoteku na prijavljenoj liniji i pogledajte token koji je klijent naveo. Broj linije je linija profila, a ne verzija, što ljude zbunjuje jer se isti broj pojavljuje u zagradi kao identifikator izdanja.

Stari generatori profila nisu ispisivali jednu lošu direktivu, nego nekoliko. Ispravite prvu grešku, ponovo pokrenite klijent i očekujte da će se pojaviti sljedeća. Takav slijed je normalan i nije znak da su izmjene pogoršale stvari.

Šta se dogodilo s keysize i tls-remote

keysize je tražio dužinu ključa šifre u doba kada je profil eksplicitno birao šifru. OpenVPN 2.4 ga je ukinuo, a kasniji klijenti uklonili su ga iz tablice opcija, pa parser sada odbija liniju umjesto da je zanemari. Moderno pregovaranje izvodi dužinu ključa iz odabrane šifre, zbog čega direktivi nije ostalo ništa za kontrolu.

tls-remote je uklonjen u verziji 2.4. Upoređivao je certifikat servera s očekivanim imenom, a njegova zamjena je verify-x509-name, koja je stroža u pogledu toga kako se ime poklapa. Stara direktiva je nestala, pa profil koji je nosi nikada neće biti parsiran na trenutnom klijentu.

Ispravljajte jednu direktivu po pokušaju. Ako profil takođe navodi šifru koju klijent ne nudi, to će kasnije dati drugu grešku, a miješanje obje izmjene u jednoj izmjeni onemogućava da se kaže koja je pokvarila rukovanje. Ponovo se povežite nakon svake izmjene i sačuvajte tekst greške. Ta navika ostavlja i radni rezervni put ako izmjena pogorša stvari.

Prepišite provjeru identiteta servera

Zamjena prima očekivano ime i način poređenja. verify-x509-name vpn.example.edu name zahtijeva da subjekt certifikata bude tačno jednak toj vrijednosti. Drugi načini poklapaju prefiks ili puni string subjekta, a pogrešan način pretvara radni profil u čistu grešku verifikacije.

Ako je stari argument tls-remote bio puni common name servera, tačno poređenje name obično je ispravno. Ako je bila djelimična vrijednost, koristite prefiks način umjesto skraćivanja očekivanog imena, jer kraće tačno poklapanje neće proći verifikaciju. Kada originalna vrijednost nije zapisana, pitajte onoga ko upravlja serverom koji subjekt objavljuju.

Ne utišavajte provjeru da bi greška nestala. Uklanjanje verifikacije identiteta servera pretvara popravljiv problem profila u neverifikovani tunel, a to je upravo rizik koji je direktiva postojala da spriječi.

Ispravljen profil, lokalna izmjena ili stariji klijent

Kada server pripada nekom drugom, najčistiji put je aktuelni profil od te osobe. Vaša kopija dolazi sa starijeg generatora, a njihov izvoz već koristi aktuelne direktive. Jedno preuzimanje uklanja cijelu kategoriju grešaka i drži buduće izmjene na jednom mjestu.

Kada posjedujete oba kraja, uredite kopiju i sačuvajte original. Promijenite jednu direktivu, sačuvajte, povežite se i zabilježite verziju klijenta koju ste testirali. Držite kratku bilješku uz svaku izmjenu, jer profil mijenjan kroz nekoliko sesija teško je revidirati po sjećanju. Pokretanje iz komandne linije nad uređenom datotekom čini taj ciklus brzim, jer greška ide pravo u terminal.

Pričvršćivanje ili vraćanje na klijent prije 2.4 takođe čini da poruka nestane, a kod uređaja koji nikada neće biti ažuriran to može biti jedino izvodljivo privremeno rješenje. Tretirajte ga kao privremeno: stari klijent na aktuelnom računaru obično znači staru biblioteku i nepodržanu konfiguraciju, što je problem odgođen, a ne riješen.

Nakon što tunel proradi, pročitajte cijeli profil još jednom. Profili koji su nosili jednu uklonjenu direktivu često nose i drugu, a druga se pojavljuje tek kad prve nestane.