OpenVPN-TLS-handskakeling het misluk: watter tak is jy op?

Die reël wat sê dat die TLS-handskakeling misluk het, is die einde van 'n verhaal, nie die begin daarvan nie. Wat saak maak, is die gebeurtenis onmiddellik daarvoor, want daardie gebeurtenis noem watter van vier heel verskillende foute jy het. 'n Tydverstreke antwoord, 'n kontrolekanaal wat nie pas nie, 'n verwerpte sertifikaat en 'n mislukking ná onderhandeling lewer almal dieselfde opskrif. Kies die tak op grond van die bewyse, en die regstelling is nie meer 'n raaiskoot nie.

Lees die laaste gebeurtenis voor die mislukking

Rol op eerder as om die laaste reël te lees. Die gebeurtenis voor die ontkoppeling noem gewoonlik die stadium: glad geen antwoord nie, 'n fout tydens die uitruil van kontrolepakkette, 'n verifikasiestelsel-uitslag, of 'n suksesvolle onderhandeling gevolg deur 'n outentiseringsuitkoms. Elkeen van daardie behoort aan 'n ander eienaar. Daardie enkele reël bepaal watter afdeling hieronder van toepassing is.

Stoor die foutteks saam met die kliëntweergawe, die eindpunt en die vervoer. Hou sleutels, wagwoorde en ongeredigeerde profiele uit alles wat jy in die openbaar plak.

'n Presiese eerste fout is meer werd as 'n lang logaanhaling. Dit noem die stadium, en die stadium noem die eienaar.

Tak een: niks het teruggekom nie

As die kliënt sy eerste pakket gestuur het en niks bruikbaars ontvang het nie, is die probleem op die pad of by die luisteraar. Bevestig dat die profiel by 'n opsie pas wat die operateur werklik bied: adres, poort en UDP of TCP. Kyk dan of die eindpunt hoegenaamd vanaf hierdie netwerk bereikbaar is. Let op watter van daardie twee kontroles misluk het voordat jy verder gaan.

'n Blaaier wat 'n bladsy by dieselfde gasheernaam laai, bewys net dat 'n webdiens geantwoord het. Selfs 'n aanvaarde TCP-verbinding sê niks oor of OpenVPN die onderhandeling voltooi het nie.

As die profiel op 'n ander vertroude netwerk werk, hou daardie vergelyking. Dit plaas die beperking op 'n pad of 'n tussenganger.

Tak twee: kontrolekanaal pas nie

Wanneer die uitruil begin en dan vassteek, is die kontrolekanaal-instellings die eerste verdagte. tls-auth en tls-crypt moet by die ontplooiing pas, en materiaal van 'n ander bediener sal nie 'n bruikbare uitruil lewer nie. Hierdie mislukking gebeur voor enige rekeningaanmelding. 'n Profiel wat van 'n ouer bediener gekopieer is, is die gewone oorsaak.

'n Wagwoordherstel vervang nie daardie instellings nie, en om 'n sleutel by 'n ander diens te leen is nie 'n versoenbaarheidsoplossing nie. Kry die profiel deur die operateur se geverifieerde kanaal en let op die kliëntweergawe wat dit verwag.

Teken die spesifieke onderhandelingsfout aan eerder as om 'n klomp ouer algoritmes te aktiveer om te sien wat werk. 'n Vastelê foutteks is wat die operateur in staat stel om hul kant na te gaan.

Tak drie: 'n sertifikaat is verwerp

'n Eksplisiete verifikasiefout noem die sertifikaat waarvan dit nie hou nie. Kontroleer eers die toestel se klok en lees dan watter objek gefaal het: die bediener-sertifikaat, die kliënt-sertifikaat, of 'n uitreiker in die ketting. Vervaldatum, 'n onvertroude uitreiker en 'n onverwagte identiteit is drie verskillende boodskappe.

Hou verifikasie aangeskakel terwyl jy reggestelde materiaal kry. Om 'n onverwante sertifikaat te aanvaar, verwyder die fout sonder om te bewys dat jy die beoogde bediener bereik het.

Let op of die mislukking die netwerk of die profiel volg. 'n Sertifikaatfout wat oral voorkom, is nie 'n padprobleem nie.

Tak vier: onderhandeling het klaar gebeur en iets anders het gefaal

Sodra die identiteitsuitruil slaag, behoort die oorblywende mislukking aan outentisering of aan roetering. 'n Eksplisiete verwerping van die rekening is 'n outentiseringsvraag, en 'n gekoppelde tonnel met onbereikbare werwe is 'n roetering- of DNS-vraag. Om op daardie punt aan te hou om TLS-opsies te vervang, beskadig 'n stadium wat al gewerk het.

Wanneer jy die probleem rapporteer, sê of elke netwerk faal, of 'n ander profiel werk, en of die bediener die poging aangeteken het. Stilte aan die bediener se kant en 'n verwerping van daardie kant lê op verskillende grense.