Gabim i OpenVPN: opsion i panjohur tls-remote ose keysize

Zakonisht nis me një profil që është lidhur për vite, i hapur në një klient më të ri, dhe dështon para se tuneli të nisë fare. Terminali shtyp diçka si Options error: Unrecognized option ... in client.ovpn:130: tls-remote, me një version në kllapa në fund. Lexojeni si ankesë të parserit: skedari përmban një direktivë që ky klient nuk e njeh më.

Ky mesazh i vetëm shpjegon pse rigjenerimi i çelësave, rishkrimi i fjalëkalimit ose kontrollimi i serverit nuk bëjnë asgjë. Dështimi ndodh ndërsa klienti lexon konfigurimin e vet, përpara se të hapë një socket. Puna e dobishme është të identifikosh direktivën e refuzuar dhe ta zëvendësosh me ekuivalentin aktual.

Lexoni rreshtin që dështon përpara se të ndryshoni gjë

Nisni vetë klientin në vend që ta hapni nga një ikonë e tabakasë, që mesazhi të jetë i dukshëm dhe rruga e profilit e padyshimtë. Hapni skedarin në rreshtin e raportuar dhe shikoni tokenin që klienti përmendi. Numri i rreshtit është rreshti i profilit, jo një version, gjë që i ngatërron njerëzit sepse i njëjti numër shfaqet në kllapa si identifikues i lëshimit.

Gjeneratorët e vjetër të profileve nuk lëshonin një direktivë të keqe, por disa. Rregulloni gabimin e parë, rinisni klientin dhe prisni të shfaqet i radhës. Kjo sekuencë është normale dhe nuk është shenjë se ndryshimet i keqësuan gjërat.

Çfarë ndodhi me keysize dhe tls-remote

keysize kërkonte një gjatësi çelësi shifrimi në epokën kur profili e zgjidhte shifrën në mënyrë eksplicite. OpenVPN 2.4 e vjetërsuan atë, dhe klientët e mëvonshëm e hoqën nga tabela e opsioneve, ndaj parseri tani e refuzon rreshtin në vend që ta injorojë. Negociimi modern e nxjerr gjatësinë e çelësit nga shifra e zgjedhur, prandaj direktivës nuk i mbetet asgjë për të kontrolluar.

tls-remote u hoq në versionin 2.4. Krahasonte certifikatën e serverit me një emër të pritur, dhe zëvendësuesi i tij është verify-x509-name, i cili është më i rreptë për mënyrën se si përputhet emri. Direktiva e vjetër nuk ekziston më, ndaj një profil që e mban nuk do të analizohet kurrë nga një klient aktual.

Rregulloni një direktivë për çdo provë. Nëse profili specifikon gjithashtu një shifër që klienti nuk e ofron, kjo prodhon një gabim tjetër më vonë, dhe përzierja e të dyja ndryshimeve në një redaktim të vetëm e bën të pamundur të thuhet cila e prishi handshake. Rilidhuni pas çdo redaktimi dhe ruani tekstin e gabimit. Ky zakon lë edhe një rrugë rezervë funksionale nëse një redaktim i keqëson gjërat.

Rishkruani kontrollin e identitetit të serverit

Zëvendësuesi merr emrin e pritur dhe një mënyrë krahasimi. verify-x509-name vpn.example.edu name kërkon që subjekti i certifikatës të jetë saktësisht i barabartë me atë vlerë. Mënyrat e tjera përputhin një parashtesë ose një varg të plotë subjekti, dhe zgjedhja e mënyrës së gabuar e kthen një profil funksional në një dështim të pastër verifikimi.

Nëse argumenti i vjetër tls-remote ishte common name i plotë i serverit, një krahasim i saktë name zakonisht është i drejtë. Nëse ishte një vlerë e pjesshme, përdorni mënyrën e parashtesës në vend që të shkurtoni emrin e pritur, sepse një përputhje e saktë më e shkurtër nuk do të verifikohet. Kur vlera origjinale nuk është e shkruar, pyesni atë që administron serverin për subjektin që publikojnë.

Mos e heshtni kontrollin për ta bërë gabimin të zhduket. Heqja e verifikimit të identitetit të serverit e kthen një problem profili të rregullueshëm në një tunel të paverifikuar, që është pikërisht rreziku që direktiva ekzistonte për ta parandaluar.

Profil i korrigjuar, redaktim lokal ose klient më i vjetër

Kur serveri është i dikujt tjetër, rruga më e pastër është një profil aktual prej atij personi. Kopja juaj erdhi nga një gjenerator më i vjetër, dhe eksporti i tyre tashmë përdor direktivat aktuale. Një shkarkim i vetëm heq të gjithë kategorinë e gabimeve dhe i mban redaktimet e ardhshme në një vend.

Kur i zotëroni të dy skajet, redaktoni një kopje dhe mbani origjinalin. Ndryshoni një direktivë, ruani, lidhuni dhe shënoni versionin e klientit që testuat. Mbani një shënim të shkurtër pranë çdo redaktimi, sepse një profil i redaktuar gjatë disa sesioneve është i vështirë për t'u audituar nga kujtesa. Ekzekutimet nga rreshti i komandës mbi skedarin e redaktuar e bëjnë atë cikël të shpejtë, sepse gabimi shkon drejt e në terminal.

Fiksimi ose kthimi te një klient para 2.4 gjithashtu e bën mesazhin të zhduket, dhe me një pajisje që nuk do të përditësohet kurrë kjo mund të jetë e vetmja zgjidhje e përkohshme e zbatueshme. Trajtojeni si të përkohshme: një klient i vjetër në një desktop aktual zakonisht do të thotë një bibliotekë e vjetër dhe një konfigurim i pambështetur, që është një problem i shtyrë, jo i zgjidhur.

Pasi tuneli ngrihet, lexoni edhe një herë të gjithë profilin. Profilet që mbanin një direktivë të hequr shpesh mbajnë edhe një tjetër, dhe e dyta shfaqet vetëm pasi e para të zhduket.