فشل مصافحة OpenVPN TLS: على أي فرع أنت؟

السطر الذي يقول إن مصافحة TLS فشلت هو نهاية الحكاية وليس بدايتها. المهم هو الحدث الذي يسبقه مباشرة، لأن ذلك الحدث يسمّي أي عطل من أربعة أعطال مختلفة تمامًا لديك. انتهاء المهلة، وعدم تطابق قناة التحكم، ورفض الشهادة، وفشل بعد التفاوض، كلها تنتج العنوان نفسه. اختر الفرع بناءً على الأدلة، فيكفّ الإصلاح عن كونه تخمينًا.

اقرأ آخر حدث قبل الفشل

مرّر لأعلى بدلًا من قراءة السطر الأخير. الحدث الذي يسبق قطع الاتصال يسمّي عادةً المرحلة: لا ردّ إطلاقًا، أو خطأ أثناء تبادل حزم التحكم، أو نتيجة تحقّق، أو تفاوض ناجح يعقبه نتيجة مصادقة. كل واحد من هذه ينتمي إلى جهة مختلفة. ذلك السطر الواحد يحدّد أي قسم أدناه ينطبق.

احفظ نص الخطأ مع إصدار العميل ونقطة النهاية ووسيلة النقل. أبقِ المفاتيح وكلمات المرور والملفات الشخصية غير المنقّحة خارج أي شيء تنشره علنًا.

الخطأ الأول الدقيق أنفع من مقتطف سجل طويل. إنه يسمّي المرحلة، والمرحلة تسمّي الجهة المسؤولة.

الفرع الأول: لم يعُد شيء

إذا أرسل العميل حزمته الأولى ولم يتلقَّ شيئًا صالحًا للاستخدام، فالمشكلة في المسار أو عند المستمع. تأكّد من أن الملف الشخصي يطابق خيارًا يقدّمه المشغّل فعلًا: العنوان والمنفذ وUDP أو TCP. ثم افحص ما إذا كانت نقطة النهاية قابلة للوصول أصلًا من هذه الشبكة. سجّل أي الفحصين فشل قبل المتابعة.

متصفح يحمّل صفحة على اسم المضيف نفسه يثبت فقط أن خدمة ويب ردّت. حتى اتصال TCP المقبول لا يقول شيئًا عمّا إذا كان OpenVPN قد أكمل التفاوض.

إذا كان الملف الشخصي يعمل على شبكة موثوقة أخرى، فاحتفظ بهذه المقارنة. إنها تحصر القيد في مسار أو وسيط.

الفرع الثاني: قناة التحكم غير متطابقة

عندما يبدأ التبادل ثم يتوقف، تكون إعدادات قناة التحكم أول المشتبه بهم. يجب أن يطابق tls-auth و tls-crypt عملية النشر، والمواد من خادم آخر لن تنتج تبادلًا مفيدًا. يحدث هذا الفشل قبل أي تسجيل دخول للحساب. والملف الشخصي المنسوخ من خادم أقدم هو المصدر المعتاد.

إعادة تعيين كلمة المرور لا تستبدل تلك الإعدادات، واستعارة مفتاح من خدمة أخرى ليست إصلاحًا للتوافق. احصل على الملف الشخصي عبر قناة المشغّل الموثّقة وسجّل إصدار العميل الذي يتوقعه.

سجّل خطأ التفاوض المحدد بدلًا من تمكين كومة من الخوارزميات الأقدم لترى ما ينجح. نص خطأ محفوظ هو ما يتيح للمشغّل فحص جهته.

الفرع الثالث: رُفضت شهادة

فشل تحقّق صريح يسمّي الشهادة التي لا يقبلها. افحص ساعة الجهاز أولًا، ثم اقرأ أي كائن فشل: شهادة الخادم، أو شهادة العميل، أو جهة إصدار في السلسلة. انتهاء الصلاحية وجهة إصدار غير موثوقة وهوية غير متوقعة ثلاث رسائل مختلفة.

أبقِ التحقّق مفعّلًا أثناء حصولك على مواد مصحّحة. قبول شهادة غير متعلقة يزيل الخطأ دون إثبات أنك وصلت إلى الخادم المقصود.

سجّل ما إذا كان الفشل يتبع الشبكة أم الملف الشخصي. خطأ شهادة يظهر في كل مكان ليس مشكلة مسار.

الفرع الرابع: انتهى التفاوض وفشل شيء آخر

بمجرد نجاح تبادل الهوية، ينتمي الفشل المتبقي إلى المصادقة أو إلى التوجيه. رفض الحساب الصريح مسألة مصادقة، والنفق المتصل مع مواقع غير قابلة للوصول هو مسألة توجيه أو DNS. الاستمرار في استبدال خيارات TLS عند تلك النقطة يضر بمرحلة كانت تعمل بالفعل.

عندما تُبلّغ عن المشكلة، قل ما إذا كانت كل الشبكات تفشل، وما إذا كان ملف شخصي آخر يعمل، وما إذا كان الخادم قد سجّل المحاولة. الصمت من جانب الخادم والرفض منه يقفان على حدّين مختلفين.