Napaka OpenVPN: neznana možnost tls-remote ali keysize

Običajno se začne s profilom, ki se je leta povezoval, odprt v novejšem odjemalcu, in odpove, še preden se tunel sploh zažene. Terminal izpiše nekaj kot Options error: Unrecognized option ... in client.ovpn:130: tls-remote, z različico v oklepajih na koncu. Berite to kot pritožbo razčlenjevalnika: datoteka vsebuje direktivo, ki je ta odjemalec ne pozna več.

To eno sporočilo pojasni, zakaj ponovno ustvarjanje ključev, ponovno vpisovanje gesla ali preverjanje strežnika ne naredijo ničesar. Napaka se zgodi, medtem ko odjemalec bere lastno konfiguracijo, še preden odpre vtičnico. Koristno delo je prepoznati zavrnjeno direktivo in jo zamenjati s trenutnim ustreznikom.

Preberite vrstico, ki odpove, preden karkoli uredite

Zaženite odjemalec sami, namesto da ga zaženete z ikone v sistemski pladnji, da bo sporočilo vidno in pot do profila nedvoumna. Odprite datoteko na prijavljeni vrstici in poglejte žeton, ki ga je odjemalec navedel. Številka vrstice je vrstica profila, ne različica, kar ljudi zavaja, ker se isto število pojavi v oklepajih kot identifikator izdaje.

Stari generatorji profilov niso izpisali ene slabe direktive, ampak več. Popravite prvo napako, znova zaženite odjemalec in pričakujte, da se bo pojavila naslednja. Takšno zaporedje je običajno in ni znak, da so spremembe stvari poslabšale.

Kaj se je zgodilo s keysize in tls-remote

keysize je zahteval dolžino šifrirnega ključa v času, ko je profil šifro izbral izrecno. OpenVPN 2.4 ga je opustil, poznejši odjemalci pa so ga odstranili iz tabele možnosti, zato razčlenjevalnik vrstico zdaj zavrne, namesto da bi jo prezrl. Sodobno pogajanje izpelje dolžino ključa iz izbrane šifre, zato direktivi ni ostalo ničesar za nadzor.

tls-remote je bil odstranjen v različici 2.4. Primerjal je strežnikov certifikat s pričakovanim imenom, njegova zamenjava pa je verify-x509-name, ki je strožja glede tega, kako se ime ujema. Stare direktive ni več, zato profil, ki jo vsebuje, na trenutnem odjemalcu ne bo nikoli razčlenjen.

Popravljajte eno direktivo na poskus. Če profil navaja tudi šifro, ki je odjemalec ne ponuja, bo to pozneje povzročilo drugo napako, mešanje obeh sprememb v eni izmeni pa onemogoči, da bi ugotovili, katera je pokvarila rokovanje. Po vsaki izmeni se znova povežite in shranite besedilo napake. Ta navada pusti tudi delujočo rezervno pot, če izmenjava stvari poslabša.

Prepišite preverjanje strežnikove identitete

Zamenjava sprejme pričakovano ime in način primerjave. verify-x509-name vpn.example.edu name zahteva, da je subjekt certifikata natančno enak tej vrednosti. Drugi načini ujemajo predpono ali celoten niz subjekta, izbira napačnega načina pa delujoč profil spremeni v čisto napako preverjanja.

Če je bil stari argument tls-remote polno common name strežnika, je natančna primerjava name običajno pravilna. Če je bila delna vrednost, uporabite način predpone, namesto da skrajšate pričakovano ime, ker krajše natančno ujemanje ne bo preverjeno. Ko izvorna vrednost ni zapisana, vprašajte tistega, ki upravlja strežnik, kateri subjekt objavlja.

Ne utišajte preverjanja, da bi napaka izginila. Odstranitev preverjanja strežnikove identitete spremeni popravljiv problem profila v nepreverjen tunel, kar je natanko tveganje, ki naj bi ga direktiva preprečila.

Popravljen profil, lokalna izmenjava ali starejši odjemalec

Ko je strežnik v lasti nekoga drugega, je najčistejša pot trenutni profil od te osebe. Vaša kopija prihaja iz starejšega generatorja, njihov izvoz pa že uporablja trenutne direktive. En prenos odstrani celo kategorijo napak in ohrani prihodnje izmenjave na enem mestu.

Ko imate v lasti oba konca, uredite kopijo in obdržite izvirnik. Spremenite eno direktivo, shranite, povežite se in zabeležite različico odjemalca, ki ste jo preizkusili. Ob vsaki izmeni imejte kratko opombo, ker je profil, urejan več sej, težko revidirati po spominu. Zagoni iz ukazne vrstice na urejeni datoteki naredijo to zanko hitro, ker napaka gre naravnost v terminal.

Pripajanje ali vrnitev na odjemalec pred 2.4 prav tako povzroči, da sporočilo izgine, in pri napravi, ki ne bo nikoli posodobljena, je to morda edina izvedljiva začasna rešitev. Obravnavajte jo kot začasno: star odjemalec na sodobnem namizju običajno pomeni staro knjižnico in nepodprto konfiguracijo, torej odložen problem, ne rešen.

Ko se tunel dvigne, preberite celoten profil še enkrat. Profili, ki so nosili eno odstranjeno direktivo, pogosto nosijo še drugo, druga pa se pokaže šele, ko prve ni več.