TLS-tydsverloop van sestig sekondes: watter kant het werklik opgehou?

Die kliënt gee ná sestig sekondes op met 'n boodskap oor sleutelonderhandeling, en die skootrekenaar sê niks oor waarom nie. Daardie sin beskryf die kliënt se geduld, nie die bediener se gedrag nie. Drie heel verskillende situasies veroorsaak dit: die pakkie het nooit die regte diens bereik nie, die diens het dit weggegooi voordat dit enigiets gelog het, of die diens het dit verwerp en dit ergens gesê waar die kliënt dit nie kan sien nie. Om een poging aan albei kante te korreleer, is wat hulle onderskei.

Gee een poging 'n identiteit waarna jy kan soek

Skryf die begintyd met sy tydsone neer, die profielnaam, die bestemming wat die kliënt werklik opgelos het, die poort, en of die verbinding UDP of TCP is. As die profiel verskeie afgeleë inskrywings bevat, let op watter een daardie poging gekies het, want 'n herpoging het dalk na die volgende inskrywing geskuif sonder om die lêer te verander wat jy lees.

Neem die eindpunt uit die aktiewe logboek, nie uit die aflaai wat jy onthou nie. 'n Profiel wat na 'n private adres wys, is heeltemal geldig en heeltemal onbruikbaar vanuit 'n netwerk wat nie daarheen kan roeteer nie, en daardie geval lyk identies aan 'n bediener wat af is.

Vra die operateur dan vir dieselfde venster op die beoogde instansie. Klokafwyking is algemeen genoeg dat 'n verskuiwing van 'n paar minute 'n ooreenstemmende gebeurtenis kan laat lyk asof dit afwesig is, so teken die verskuiwing aan eerder as om af te lei dat daar geen gebeurtenis was nie.

Vier waarnemings, vier verskillende volgende stappe

Wat die bediener aanteken, bepaal die tak. Die afwesigheid van enige poging dui op adressering, vervoer of die pad na die diens. Pakkies wat aankom en voor 'n gewone uitruiling verdwyn, dui op die vereistes van die beheerkanale van die werklike diens. 'n Benoemde verwerping dui op die objek wat dit noem. Antwoorde wat die bediener verlaat maar nooit die kliënt bereik nie, dui op die terugpad.

'n Leë toepassinglogboek is swakker bewyse as wat dit lyk. Logging begin op 'n sekere punt in die uitruiling, en pakkies wat voor daardie punt weggegooi word, laat geen spoor in die lêer wat jy lees nie. Waar dit gemagtig is om dit te doen, kan die operateur diens- en netwerkwaarnemings gebruik om te sien of enigiets hoegenaamd aangekom het.

Hou die vier uitkomste apart in jou notas. Die versoeking is om hulle saam te voeg tot "bediener reageer nie", die frase wat mense enkripsiemetodes laat verander wanneer die werklike probleem 'n firewall-reël is. 'n Nota wat net die woord tydsverloop aanteken, het die onderskeid weggegooi waarvoor jy pas betaal het.

Maak reg die stadium wat die bewyse noem

'n TCP-verbinding wat voltooi, bewys net dat iets 'n sokkel aanvaar het. Dit bewys nie dat die luisteraar die OpenVPN-diens is wat jy opgestel het nie, en 'n webbediener op dieselfde gasheernaam antwoord 'n blaaier perfek terwyl dit irrelevant vir die tonnel is.

As die bediener 'n vervalde herroepingslys rapporteer, is dit 'n veel spesifiekers feit as die kliënt se uiteindelike tydsverloop, en die oplossing hoort by die sertifikaatowerheid eerder as by die netwerk. As die twee kante verskil oor beheerkanale-beskerming of gedeelde materiaal, verander die herstel van 'n wagwoord niks, want die wegwerping gebeur voordat enige geloofsbrief ondersoek word.

Verander een ding wat die bewyse werklik ondersteun, en herhaal dan dieselfde profiel teen dieselfde eindpunt. Bewaar die eerste nuwe gebeurtenis as die verbinding verder kom, want daardie gebeurtenis is die volgende stadium van die ondersoek, nie 'n nuwe probleem nie.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Wat die verlenging van die venster werklik verander

Sestig sekondes is die kliënt se handdrukvenster, en die gemeenskapskliëntverwysing dokumenteer die opsie wat dit aanpas. Om dit te verhoog laat die kliënt langer wag voordat hy opgee. Dit laat nie 'n afwesige diens verskyn nie en dit maak nie 'n verwerpte pakkie aanvaarbaar nie.

Daar is 'n wettige gebruik vir 'n langer venster op 'n stadige skakel of 'n swaar belaaide bediener, en dit is die moeite werd om dit te probeer sodra jy bewyse het dat die uitruiling stadig vorder eerder as om glad nie te gebeur nie. Om dit eerste te probeer, vertraag bloot dieselfde diagnose met nog 'n minuut en maak die tydlyn moeiliker om te lees. As die tydlyn 'n uitruiling toon wat vorder en dan vasval, is die venster 'n simptoom van belading eerder as van bereikbaarheid.