Fshirja e key-method nga një profil OpenVPN nuk ndryshon asgjë

Një profil që ka punuar për vite papritmas refuzon të nisë, dhe mesazhi emërton një direktivë që askush nuk mban mend ta ketë shtuar: key-method. Rezultati tjetër i kërkimit sugjeron shtimin e key-method 2 për përputhshmëri, që është një këshillë nga një epokë tjetër. Analizuesi që e refuzoi rreshtin është aktual dhe nuk ka fare një opsion të tillë. Heqja e rreshtit rregullon nisjen dhe nuk ndryshon asgjë në mënyrën se si dy palët mbrojnë sesionin.

Pikërisht ky hendek midis asaj që përmban një profil dhe asaj që protokolli bën në të vërtetë është e gjithë tema këtu, dhe shpjegon disa modifikime të tjera që njerëzit bëjnë në të njëjtën kohë. Ai shpjegon gjithashtu përse ato modifikime zakonisht vijnë në një paketë të vetme.

Simptomi është një gabim analize, jo një dështim shtrëngimi duarsh

Opsionet lexohen përpara se të dërgohet çdo paketë. Një profil me një direktivë të panjohur dështon në atë fazë, kështu që procesi nuk arrin kurrë në rrjet dhe nuk prodhon kurrë një gabim shtrëngimi duarsh. Formulimi zakonisht identifikon opsionin dhe skedarin, gjë që e bën këtë një nga dështimet më të lehta për t'u atribuar. Nuk përfshihen paketë, rrugë apo mur zjarri.

openvpn --config /etc/openvpn/client/office.ovpn --verb 3 --log /tmp/parse.log
grep -n 'Options error' /tmp/parse.log

Nëse mesazhi emërton direktivën, diagnoza ka përfunduar: skedari përmban diçka që ky ndërtim nuk e pranon. Nëse mesazhi emërton një shteg skedari, problemi është një include ose një çelës që mungon, i cili është një seksion tjetër i të njëjtës fazë nisjeje.

Ajo që nuk duhet të përfundoni është se klienti ose serveri ka nevojë për një modalitet protokolli më të vjetër. Një dështim analize është problem fjalori midis skedarit tuaj dhe binarit, dhe binari në këtë rast thjesht ka hedhur një fjalë nga fjalori i tij.

Direktiva dhe formati i transmetimit janë dy gjëra të ndryshme

Opsioni i vjetër key-method zgjidhte se si kornizohej shkëmbimi i çelësave TLS, dhe shkëmbimi modern është metoda me shumë paketa që ai opsion dikur kërkonte. Opsioni u zhduk sepse nuk zgjidhte më asgjë; formati që emërtonte u bë i vetmi. Prandaj heqja e rreshtit e lë sesionin me të njëjtin kornizim si më parë. Një redaktim teksti nuk mund ta ndryshojë këtë në asnjë drejtim.

Kjo është arsyeja pse rikthimi i një binari të vjetër për të «restauruar» metodën 2 është riparimi i gabuar. Ai nuk restauron asgjë veç një analizues më të vjetër me vlera të paracaktuara më të vjetra, dhe ju kushton rregullimet që erdhën pas tij. I njëjti arsyetim vlen për dobësimin e një kontrolli certifikate ose të një liste shifrash me shpresën se lidhja kthehet.

Një kontroll i dobishëm është versioni dhe konfigurimi i analizuar, jo prania e fjalës në skedar:

openvpn --version | head -n 1
grep -rn 'key-method' /etc/openvpn/ 2>/dev/null

Çfarë të hiqet, dhe nga cili skedar

Modifikoni skedarin që procesi në punë lexon vërtet, dhe vetëm atë skedar. Në sistemet e paketuara zakonisht është profili në drejtorinë e klientit ose të serverit që emërton njësia, jo një kopje në drejtorinë tuaj shtëpiake që mbani si referencë. Një profil i gjeneruar mund të rindërtohet nga një shabllon, prandaj një ndryshim i bërë vetëm në kopjen e vendosur do të kthehet pas ekzekutimit të ardhshëm të furnizimit.

Fshini rreshtin e vjetruar dhe lini të qetë pikën fundore, certifikatat, politikën e shifrave dhe cilësimet e kanalit të kontrollit. Këto janë opsione të mbështetura që procesi i nevojit dhe nuk janë të përfshira në gabimin e analizës. Nëse i njëjti profil përmban direktiva të tjera që nuk i njihni, kontrolloni secilën kundrejt versionit që ekzekutoni në vend që të fshini një grup prej tyre derisa procesi të nisë.

Më pas nisni instancën e synuar dhe lexoni daljen e nisjes së saj. Një nisje e pastër me dëgjuesin e pranishëm është konfirmimi se kjo fazë ka përfunduar; një test klienti pas kësaj u përgjigjet një pyetjeje tjetër.

Një profil i refuzuar dhe një klient i refuzuar duken njësoj

Dy dështime prodhojnë fije mbështetjeje të ngjashme dhe kërkojnë prova të ndryshme. Një server që refuzon konfigurimin e vet nuk niset kurrë, kështu që asnjë klient nuk mund t'i lidhet. Një server që niset mirë dhe refuzon një klient është në punë, dhe regjistri i tij përmban arsyen: një problem certifikate, një opsion i shtyrë që klienti nuk e pranon, një mospërputhje shifre.

Opsioni i hequr nuk është diagnozë për rastin e dytë, dhe të kapurit pas tij humbet të njëjtën orë dy herë. Nëse regjistri i klientit tregon refuzimin e serverit, lexoni atë refuzim; nëse tregon një gabim lokal, skedari për t'u shqyrtuar është profili i klientit. Të kapurit pas një direktive që nuk ekziston më i vonon të dy hetimet njësoj.

Pyetje përputhshmërie të cilave rreshti nuk u përgjigj kurrë

Profilet që qarkullojnë me këtë direktivë zakonisht mbajnë një histori për një platformë të caktuar, dhe historia i mbijeton arsyes teknike. Një klient celular ose desktopi ka ende nevojë për një profil të plotë të mbështetur: një zinxhir certifikatash të besuar, një shifër të dhënash që të dy skajet e pranojnë, një modalitet kanali kontrolli që të dy skajet e zbatojnë, dhe asnjë direktivë që ndërtimi i klientit e refuzon. Asnjëra prej tyre nuk vendoset nga prania ose mungesa e rreshtit të vjetër key-method.

Kompresimi është një çështje politike më vete me të njëjtën formë. Heqja e një rreshti key-method nuk thotë asgjë nëse një direktivë kompresimi mbështetet ose pranohet në vendosjen tuaj, dhe dy vendimet duhet të merren në mënyrë të pavarur. Fshirja e disa cilësimeve me rëndësi sigurie përnjëherë derisa diçka të lidhet është mënyra se si një profil që punon bëhet një profil i pashpjeguar.

Mbani një shënim të shkurtër për atë që hoqët dhe përse: opsionin, versionin që e refuzoi dhe komandën që tregoi gabimin. Personi tjetër që do të trashëgojë profilin do të ketë nevojë pikërisht për ato tre fakte, dhe është më lirë t'i shkruani tani sesa t'i rindërtoni më vonë.