Lumang .ovpn profile nabigo sa Ubuntu 24.04: aling mga linya ang tatanggalin

Dinownload ang profile, ini-import at pagkatapos ay huminto sa linya 12 ng file na may mensaheng Unrecognized option na tumutukoy sa keysize. Walang nagbago sa account, at tinatanggap pa rin ng server ang ibang kliyente. Ang nagbago ay ang kliyente mismo: ang Ubuntu 24.04 ay nag-i-install ng OpenVPN 2.6, samantalang ang export ay isinulat para sa 2.4. Ang pag-aayos ay maikling serye ng pagtanggal, at mahalaga ang pagkakasunod-sunod dahil bawat lumang opsyon ay pumipigil sa pag-parse bago pa mabasa ang susunod.

Basahin ang linya ng error bago hawakan ang file

Tinutukoy ng OpenVPN ang file at ang linya kung saan huminto ang pag-parse, kaya isang problema lang ang maaayos mo bawat pagpapatakbo. Simulan ang profile mula sa terminal sa halip na desktop applet, dahil kadalasang nilulunok ng applet ang stderr at ang numero ng linya ang tanging mapagkakatiwalaang palatandaan na makukuha mo: sudo openvpn --config /etc/openvpn/client/provider.ovpn. Ayusin ang linyang iyon, patakbuhin muli, at asahan na ang susunod na pagpalya ay magsasaad ng ibang opsyon.

Ang error sa pag-parse ay laging lumalabas bago ang anumang TLS handshake, kaya ang mensaheng tumutukoy sa sertipiko ay nakalampas na sa yugto ng sintaks. Ang pagkakaibang iyon ay pumipigil sa iyong i-edit ang file na nabibigo lamang sa authentication. Basahin ang unang salita ng mensahe at hindi ang gitna nito.

Tatlong klase ng pagpalya, tatlong magkaibang pag-aayos

Ang lumang export ay nabibigo sa tatlong makikilalang paraan, at ang pagsasama-sama ng mga ito sa isang problema ang dahilan kung bakit muling nag-i-install ang mga tao ng mga paketeng hindi naman nasira. Sinasabi ng mga salita ng mensahe kung aling klase ka kabilang bago mo buksan ang file.

• Tinutukoy ng mga error sa pag-parse ang file at linya, at humihinto bago magkaroon ng anumang trapiko.
• Ang mga error sa negosasyon ay kumokonekta, pagkatapos ay iniuulat na hindi nagkasundo ang dalawang dulo sa isang shared cipher o katanggap-tanggap na data channel.
• Ang mga error sa authentication ay pinakamalayo ang nararating at tumutukoy sa sertipiko, user o tinanggihang kredensyal.

Ang pag-edit ng profile ay nag-aayos lamang ng unang klase. Ang negosasyon ay nangangailangan ng desisyon sa dalawang dulo ng tunnel, at ang tinanggihang kredensyal ay hindi problema sa sintaks. Kung ang mensahe mo ay tumutukoy sa shared cipher o data channel, wala ring mababago ang mga pagtanggal sa ibaba.

Tanggalin ang mga opsyong inalis ng 2.6, sa ganitong pagkakasunod-sunod

Ang bawat isa sa mga linyang ito ay nagpapahinto ng pag-parse nang mag-isa, kaya isa-isa silang iniuulat ng kliyente. Bumaba ka sa listahan at patakbuhin muli pagkatapos ng bawat pagtanggal.

Alisin muna ang keysize, dahil wala itong modernong katumbas at ang presensya nito ay karaniwang nagmamarka ng cipher na tinatanggihan pa rin ng kasalukuyang kliyente. Pagkatapos ay alisin ang ncp-disable, na kumokontrol sa negosasyon ng cipher, na-deprecate noong 2.5 at nawala noong 2.6. Palitan ang ns-cert-type server ng remote-cert-tls server, na nagsasaad ng parehong layunin sa pamamagitan ng suportadong pagsusuri.Kasaysayan ng pagbabago ng 2.6 inililista ang natitirang pagtanggal sa tabi ng kanilang mga kapalit, kaya ang anumang tinatanggihan pa ng parser ay may dokumentadong sagot.

Magtabi ng kopya ng orihinal na profile bago ang unang pag-edit. Talagang nagbabago ang mga provider ng export, at ang diff laban sa hindi nagalaw na file ang pinakamabilis na paraan upang hiwalayin ang iyong mga pagbabago sa kanila. Kung ang isang pagtanggal ay nagpapahintulot sa kliyenteng magsimula ngunit nabibigo pa rin ang tunnel,lumipat ka na sa klase ng negosasyon at ang natitirang mga linya ay hindi ang dahilan. Ilagay ang bersyon ng kliyente sa pangalan ng file upang malaman ng susunod na tao kung aling release ang target ng mga pag-edit.

Panatilihing gumagana ang BF-CBC bilang limitadong fallback lamang

Ang ilang provider ay nagtatapos pa rin sa BF-CBC, na hindi ipagnegosasyon ng OpenVPN 2.6 nang walang tulong dahil ang cipher ay may 64-bit na block. Ang makitid na pag-aayos ay isang fallback list at ang legacy provider ng OpenSSL, hindi downgrade ng buong kliyente.

providers legacy default
data-ciphers AES-256-GCM:AES-128-GCM
data-ciphers-fallback BF-CBC

Inilo-load ng unang linya ang legacy provider upang makagawa pa rin ang OpenSSL ng cipher na iyon, pinapanatili ng pangalawa ang modernong negosasyon para sa mga peer na sumusuporta nito, at ang pangatlo ay nalalapat lamang kapag walang inaalok ang server na mas mabuti. Ito ay sadyang pagpapahina ng tunnel, kaya itala sa tabi ng file kung bakit ito umiiral. Hilingin sa provider ang muling nabuong export kasabay nito, dahil ang fallback ay tulay at hindi destinasyon.

Huwag abutin ang --compat-mode bilang unibersal na sagot. Binabago nito ang ilang pag-uugali nang sabay, kabilang ang default ng negosasyon at muling negosasyon, kaya hindi mo malalaman kung aling pagbabago ang mahalaga. Piliin ang tatlong malinaw na linya sa itaas, dahil isinasaad ng bawat isa ang sariling epekto.

I-verify gamit ang profile na aktwal na nilo-load ng kliyente

Ang mga na-import na koneksyon ay madalas kopyahin sa system directory, kaya ang pag-edit ng file sa iyong download folder ay maaaring walang mabago. Hanapin ang kopyang tumatakbo: sudo grep -rl "remote " /etc/NetworkManager/system-connections /etc/openvpn. Pagkatapos ay simulan ang tunnel at basahin ang log line na nag-uulat ng aktwal na piniling cipher ng data channel. Ang koneksyong nakakumpleto ng handshake sa fallback ay nagsasabi na kailanman ay walang inalok na moderno ang server.

Subukan mula sa network na hindi ang inaasahan ng provider, upang ang captive portal o filtered na guest network ay hindi magpanggap na sira ng profile. Itala ang bersyon ng kliyente kasama ng anumang kahilingan sa suporta.

Kapag nakataas na ang tunnel, magpadala ng isang kahilingang dapat dumaan dito at isang hindi dapat, pagkatapos ay kumpirmahin na nagbago ang sagot ng resolver ayon sa inaasahan mo. Kung ang profile ay nagpa-parse na ngayon ngunit nabibigo pa rin ang koneksyon, naiwan mo na ang problema sa sintaks at ang teksto ng error ay magsasaad ng bagong klase. Itago ang na-edit na file sa version control kasama ng tala na nagsasaad ng release ng OpenVPN na target nito.