Walang binabago ang pag-alis ng key-method sa isang OpenVPN profile

Isang profile na gumana nang maraming taon ang biglang tumangging magsimula, at binabanggit ng mensahe ang isang direktiba na walang nakaaalala na idinagdag: key-method. Ang susunod na resulta ng paghahanap ay nagmumungkahing magdagdag ng key-method 2 para sa pagiging tugma, na payo mula sa ibang panahon. Ang parser na tumanggi sa linya ay kasalukuyan, at wala itong ganoong opsyon. Ang pag-alis ng linya ay nag-aayos ng pagsisimula, at wala itong binabago sa paraan ng pagprotekta ng dalawang panig sa sesyon.

Ang agwat na iyon sa pagitan ng nilalaman ng profile at ng aktwal na ginagawa ng protocol ang buong paksa rito, at ipinapaliwanag nito ang ilang iba pang pagbabagong ginagawa ng mga tao nang sabay. Ipinapaliwanag din nito kung bakit karaniwang dumarating ang mga pagbabagong iyon sa isang bugkos.

Ang sintomas ay error sa pag-parse, hindi kabiguan ng pakikipagkamay

Binabasa ang mga opsyon bago magpadala ng anumang pakete. Ang profile na may hindi kilalang direktiba ay nabigo sa yugtong iyon, kaya hindi kailanman umaabot ang proseso sa network at hindi kailanman gumagawa ng error sa pakikipagkamay. Karaniwang tinutukoy ng pananalita ang opsyon at ang file, na gumagawa nitong isa sa pinakamadaling iugnay na kabiguan. Walang pakete, ruta o firewall na kasangkot dito.

openvpn --config /etc/openvpn/client/office.ovpn --verb 3 --log /tmp/parse.log
grep -n 'Options error' /tmp/parse.log

Kung binanggit ng mensahe ang direktiba, tapos na ang diyagnosis: may laman ang file na hindi tinatanggap ng build na ito. Kung binanggit ng mensahe ang isang landas ng file sa halip, ang problema ay kulang na include o susi, na ibang seksyon ng parehong yugto ng pagsisimula.

Ang hindi mo dapat isipin ay kailangan ng client o server ang mas lumang mode ng protocol. Ang kabiguan sa pag-parse ay problema sa bokabularyo sa pagitan ng iyong file at ng binary, at ang binary sa kasong ito ay nagtapon lamang ng isang salita mula sa bokabularyo nito.

Ang direktiba at ang format ng transmisyon ay dalawang magkaibang bagay

Pinipili ng lumang opsyon na key-method kung paano naka-frame ang palitan ng susi ng TLS, at ang modernong palitan ay ang paraang may maraming pakete na hiniling noon ng opsyon na iyon. Nawala ang opsyon dahil wala na itong pinipili; ang format na pinangalanan nito ang naging tanging isa. Kaya ang pag-alis ng linya ay nag-iiwan sa sesyon sa parehong frame tulad ng dati. Hindi ito mababago ng pag-edit ng teksto sa alinmang direksyon.

Kaya nga ang pagbabalik ng lumang binary para «ibahin ang anyo» ng paraan 2 ay maling pagkukumpuni. Wala itong ibinabalik maliban sa lumang parser na may mas lumang default na halaga, at kinukuha nito sa iyo ang mga pagwawasto na dumating pagkatapos nito. Ang parehong pangangatwiran ay nalalapat sa pagpapahina ng pagsusuri ng sertipiko o ng listahan ng cipher sa pag-asang babalik ang koneksyon.

Ang kapaki-pakinabang na tseke ay ang bersyon at ang na-parse na configuration, hindi ang pagkakaroon ng salita sa file:

openvpn --version | head -n 1
grep -rn 'key-method' /etc/openvpn/ 2>/dev/null

Ano ang aalisin, at mula sa aling file

I-edit ang file na aktwal na binabasa ng tumatakbong proseso, at iyon lamang. Sa mga naka-package na sistema, karaniwang ito ang profile sa direktoryo ng client o server na pinangalanan ng unit, hindi kopya sa iyong home directory na iniingatan bilang sanggunian. Ang nabuong profile ay maaari ring muling itayo mula sa template, kaya ang pagbabagong ginawa lamang sa naka-deploy na kopya ay babalik pagkatapos ng susunod na pagpapatakbo ng provisioning.

Burahin ang lipas na linya at hayaang tahimik ang endpoint, mga sertipiko, patakaran sa cipher at mga setting ng control channel. Ito ay mga sinusuportahang opsyon na kailangan ng proseso, at hindi ito kasangkot sa error sa pag-parse. Kung ang parehong profile ay may iba pang direktiba na hindi mo kinikilala, suriin ang bawat isa laban sa bersyon na pinapatakbo mo sa halip na burahin ang isang grupo nito hanggang magsimula ang proseso.

Pagkatapos ay simulan ang nilalayong instance at basahin ang output nito sa pagsisimula. Ang malinis na pagsisimula na may naroroon na tagapakinig ay ang kumpirmasyon na tapos na ang yugtong ito; ang pagsubok ng client pagkatapos ay sumasagot sa ibang tanong.

Magkamukha ang tinanggihang profile at tinanggihang client

Dalawang kabiguan ang gumagawa ng magkatulad na thread ng suporta at nangangailangan ng magkaibang ebidensya. Ang server na tumatanggi sa sarili nitong configuration ay hindi kailanman nagsisimula, kaya walang client na makakakonekta rito. Ang server na maayos na nagsisimula at tumatanggi sa isang client ay tumatakbo, at ang log nito ay may dahilan: problema sa sertipiko, itinulak na opsyon na hindi tinatanggap ng client, hindi pagkakatugma ng cipher.

Ang inalis na opsyon ay hindi diyagnosis para sa ikalawang kaso, at ang paghawak dito ay nag-aaksaya ng parehong oras nang dalawang beses. Kung ipinapakita ng log ng client ang pagtanggi ng server, basahin ang pagtanggig iyon; kung nagpapakita ito ng lokal na error, ang profile ng client ang file na susuriin. Ang paghawak sa direktibang wala nang umiiral ay nagpapabagal sa dalawang pagsisiyasat nang pareho.

Mga tanong sa pagiging tugma na hindi kailanman sinagot ng linya

Ang mga profile na umiikot kasama ng direktibang ito ay karaniwang may dalang kuwento tungkol sa isang partikular na plataporma, at ang kuwento ay mas matagal kaysa sa teknikal na dahilan. Ang mobile o desktop client ay kailangan pa rin ng kumpletong sinusuportahang profile: pinagkakatiwalaang chain ng sertipiko, cipher ng data na tinatanggap ng dalawang dulo, mode ng control channel na ipinapatupad ng dalawang dulo, at walang direktibang tinatanggihan ng build ng client. Wala sa mga iyon ang niresolba ng pagkakaroon o kawalan ng lumang linyang key-method.

Ang compression ay hiwalay na tanong sa patakaran na may parehong anyo. Ang pag-alis ng linyang key-method ay walang sinasabi tungkol sa kung ang direktiba ng compression ay sinusuportahan o katanggap-tanggap sa iyong deployment, at ang dalawang desisyon ay dapat gawin nang hiwalay. Ang pagbura ng ilang setting na may kaugnayan sa seguridad nang sabay hanggang may kumonekta ay ang paraan kung paano nagiging hindi maipaliwanag na profile ang isang gumaganang profile.

Magtago ng maikling talaan ng inalis mo at bakit: ang opsyon, ang bersyon na tumanggi rito, at ang utos na nagpakita ng error. Ang susunod na taong magmamana ng profile ay mangangailangan ng eksaktong tatlong katotohanang iyon, at mas mura itong isulat ngayon kaysa muling buuin mamaya.