Differences

This shows you the differences between two versions of the page.

--- doc:appunti:linux:sa:debian_upgrade_11_12 [2025/03/03 16:13] – [pnp4nagios] niccolo
+++ doc:appunti:linux:sa:debian_upgrade_11_12 [2025/03/20 12:30] (current) – [OpenVPN BF-CBC not supported] niccolo
@@ Line 125: / Line 125: @@
 ===== OpenVPN BF-CBC not supported =====
-L'opzione **cipher** viene usata quando si usa una configurazione con l'opzione **secret** e pre-shared-key, una situazione che in generale dovrebbe essere rimpiazzata dalle configurazioni TLS (es. EasyRSA).
+==== Configuration with --secret PSK ====
-L'impostazione predefinita per **cipher** è **BF-CBC**, che però non è più presente in **OpenVPN 2.6.3** (controllare con ''%%openvpn --show-ciphers%%''); si deve quindi necessariamente indicare un protocollo diverso, ad esempio:
+In a configuration with PSK (**%%--secret%%** option) the **%%--cipher%%** parameter selects the cipher to use on the data channel. The default setting would be **BF-CBC**, but this is no longer present in **OpenVPN 2.6.3** (check with ''%%openvpn --show-ciphers%%''). You must therefore specify a different protocol, for example with:
+<file>
+# Do not use the default BF-CBC cipher, it was removed because of its 64-bit block size.
+cipher AES-256-CBC
+# Get the PSK from the external file.
+secret my-openvpn-secret.key
+</file>
+Of course, the other end of the VPN must support the same encryption. **WARNING**: Use **AES-256-CBC** because e.g. **AES-256-GCM** is not supported in pre-shared keys mode.
+==== Configuration with TLS ====
+With OpenVPN 2.6.x the **%%--cipher%%** option should not be used any longer in TLS mode (e.g. when using EasyRSA).
+With OpenVPN 2.4.x or lower: The values declared into the %%--cipher%% option were appended to **%%--data-ciphers%%** for compatiblity, this is not longer the case. You have to explicitly declare **%%--data-ciphers%%** and remove ''%%--cipher%%'':
 <code>
-# The --cipher option is used to connect OpenVPN older than 2.6.0 using pre-shared keys.
+# OpenVPN 2.6 using TLS should use the --data-ciphers option.
-# Notice that AES-256-GCM is not supported in pre-shared keys mode.
+data-ciphers AES-256-GCM:AES-128-GCM:AES-256-CBC
-#cipher AES-256-CBC
+data-ciphers-fallback AES-256-CBC
-#
-# Newer connections using TLS uses the --data-ciphers option.
-data-ciphers AES-256-GCM:AES-128-GCM
 </code>
 ===== PostgreSQL da 13 a 15 =====
@@ Line 263: / Line 276: @@
 ===== Icingaweb da 2.12.3 a 2.13.6 =====
+Può capitare che in passato siano stati fatti degli aggiornamenti di Icingaweb, ma non siano state applicate le patch SQL per aggiornare lo schema del database. Ad esempio la tabella **icingaweb_rememberme** deve essere creata quando si aggiorna alla versione 2.9.0. Se la tabella manca si può incappare nell'errore:
 <code>
@@ Line 269: / Line 284: @@
 </code>
-Collegarsi al database icingaweb e applicare le patch che si trovano in **/usr/share/icingaweb2/schema/pgsql-upgrades**.
+Per risolvere il problema è necessario collegarsi al database icingaweb e applicare le patch che si trovano in **/usr/share/icingaweb2/schema/pgsql-upgrades** (o nella directory relativa alle patch MySQL).
 ==== pnp4nagios ====
+Se su Debian 11 era installato il plugin **pnp4nagios** versione **0.6.26** è necessario fare l'aggiornamento perché contiene codice PHP obsoleto, in particolare:
-Se è installato il plugin pnp4nagios-0.6.26 è necessario fare l'aggiornamento perché contiene codice PHP obsoleto, in particolare:
 <code>
@@ Line 282: / Line 296: @@
 </code>
-Infatti la costante **MB_OVERLOAD_STRING** è stata rimossa da PHP 8.0.0.
+infatti la costante ''MB_OVERLOAD_STRING'' è stata rimossa da PHP 8.0.0.
-Si può installare **pnp4nagios-0.6.27-5** che pare compatibile. Download da [[https://github.com/pnp4nagios/pnp4nagios/tree/v0.6.27-5|GitHub]] e compilazione:
+Si può installare **pnp4nagios-0.6.27-5** che risolve questa incompatibilità. Download da [[https://github.com/pnp4nagios/pnp4nagios/tree/v0.6.27-5|GitHub]] della **tag release 0.6.27-5** e compilazione:
 <code>
@@ Line 296: / Line 310: @@
 chmod 755          /var/cache/pnp4nagios/
 </code>
+**NOTICE**: Per il funzionamento di PNP4Nagios è necessario aver installato il plugin **icingaweb2-module-pnp**, che funziona da collegamento tra i perfdata di Icinga e il software PNP4Nagios. Per Debian 12 Bookworm funziona la versione icingaweb2-module-pnp v1.1.0, disponibile su **[[https://github.com/Icinga/icingaweb2-module-pnp/archive/v1.1.0.zip|GitHub]]**.
 ===== Python e pip3 install =====