مهلة TLS البالغة ستين ثانية: أي طرف توقف فعلاً؟

يستسلم العميل بعد ستين ثانية برسالة عن مفاوضة المفاتيح، ولا يقدّم الحاسوب المحمول أي رأي في السبب. تلك الجملة تصف صبر العميل، لا سلوك الخادم. ثلاث حالات مختلفة تمامًا تنتجها: أن الحزمة لم تصل قط إلى الخدمة الصحيحة، أو أن الخدمة أسقطتها قبل أن تسجّل أي شيء، أو أن الخدمة رفضتها وقالت ذلك في مكان لا يستطيع العميل رؤيته. وربط محاولة واحدة على الطرفين هو ما يفصل بينها.

أعطِ محاولة واحدة هوية يمكنك البحث عنها

دوّن وقت البدء مع منطقته الزمنية، واسم الملف التعريفي، والوجهة التي حلها العميل فعلاً، والمنفذ، وما إذا كان الاتصال UDP أم TCP. وإذا كان الملف التعريفي يحمل عدة مدخلات بعيدة، فسجّل أيّها اختارته تلك المحاولة، لأن إعادة المحاولة ربما انتقلت إلى المدخل التالي دون تغيير الملف الذي تقرأه.

خُذ نقطة النهاية من السجل النشط لا من التنزيل الذي تتذكره. فالملف التعريفي الذي يشير إلى عنوان خاص صالح تمامًا وغير قابل للاستخدام تمامًا من شبكة لا تستطيع التوجيه إليه، وتلك الحالة تبدو مطابقة لخادم متوقف.

ثم اطلب من المشغّل النافذة نفسها على النسخة المقصودة. إن انحراف الساعة شائع بما يكفي لأن يجعل فرق بضع دقائق حدثًا مطابقًا يبدو غائبًا، لذا سجّل الفرق بدلاً من الاستنتاج بأنه لم يحدث أي حدث.

أربع ملاحظات، وأربع خطوات تالية مختلفة

ما يسجّله الخادم هو ما يحدد الفرع. غياب أي محاولة يشير إلى العنونة أو النقل أو المسار إلى الخدمة. الحزم الواصلة التي تختفي قبل تبادل عادي تشير إلى متطلبات قناة التحكم في الخدمة الفعلية. والرفض المسمّى يشير إلى الكائن الذي يسمّيه. والردود التي تغادر الخادم ولا تصل إلى العميل أبدًا تشير إلى مسار العودة.

السجل الفارغ للتطبيق دليل أضعف مما يبدو. فالتسجيل يبدأ عند نقطة معينة في التبادل، والحزم التي تُسقط قبل تلك النقطة لا تترك أثرًا في الملف الذي تقرأه. وحيث يُسمح بذلك، يمكن للمشغّل استخدام ملاحظات الخدمة والشبكة ليرى إن كان قد وصل أي شيء على الإطلاق.

أبقِ النواتج الأربعة منفصلة في ملاحظاتك. الإغراء هو دمجها في «الخادم لا يستجيب»، وهي العبارة التي تدفع الناس إلى تغيير طرق التشفير حين تكون المشكلة الحقيقية قاعدة جدار حماية. والملاحظة التي تسجّل كلمة المهلة فقط قد ألقت بالتمييز الذي دفعت ثمنه للتو.

أصلح المرحلة التي تدل عليها الأدلة

اتصال TCP يكتمل يثبت فقط أن شيئًا ما قبل مقبسًا. ولا يثبت أن المستمع هو خدمة OpenVPN التي أعددتها، وخادم ويب على اسم المضيف نفسه يجيب المتصفح على أكمل وجه بينما يكون غير ذي صلة بالنفق.

إذا أبلغ الخادم عن قائمة إبطال منتهية الصلاحية، فهذه حقيقة أكثر تحديدًا بكثير من مهلة العميل النهائية، والإصلاح يقع على عاتق جهة إصدار الشهادات لا الشبكة. وإذا اختلف الطرفان حول حماية قناة التحكم أو المواد المشتركة، فإن إعادة تعيين كلمة مرور لا تغيّر شيئًا، لأن الإسقاط يحدث قبل فحص أي بيانات اعتماد.

غيّر شيئًا واحدًا تدعمه الأدلة فعلاً، ثم أعد التجربة بالملف التعريفي نفسه على نقطة النهاية نفسها. واحتفظ بأول حدث جديد إذا تقدّم الاتصال أكثر، لأن ذلك الحدث هو المرحلة التالية من التحقيق لا مشكلة جديدة.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

ما يغيّره تمديد النافذة فعلاً

ستون ثانية هي نافذة المصافحة لدى العميل، ويوثّق مرجع العميل المجتمعي الخيار الذي يضبطها. رفعها يجعل العميل ينتظر أطول قبل الاستسلام. وهي لا تجعل خدمة غائبة تظهر ولا تجعل حزمة مرفوضة مقبولة.

هناك استخدام مشروع لنافذة أطول على رابط بطيء أو خادم محمّل بشدة، ويستحق التجربة حين تكون لديك أدلة على أن التبادل يتقدّم ببطء لا أنه لا يحدث. وتجربته أولاً تؤخر التشخيص نفسه دقيقة أخرى وتجعل الجدول الزمني أصعب في القراءة. وإذا أظهر الجدول الزمني تبادلاً يتقدّم ثم يتوقف، فالنافذة عرض من أعراض الحمل لا من أعراض إمكانية الوصول.