Збой TLS-усталявання злучэння OpenVPN: які сцэнар ваш?

Радок, які кажа, што TLS-усталяванне злучэння не ўдалося, — гэта канец гісторыі, а не яе пачатак. Важна падзея непасрэдна перад ім, бо менавіта яна называе, якая з чатырох цалкам розных няспраўнасцей у вас. Тайм-аўт, несупадзенне кіравальнага канала, адхіленне сертыфіката і збой пасля перамоваў даюць аднолькавы загаловак. Выбірайце сцэнар па доказах, і выпраўленне перастане быць здагадкай.

Прачытайце апошнюю падзею перад збоем

Прагартайце ўверх, а не чытайце апошні радок. Падзея перад раз'яднаннем звычайна называе этап: зусім няма адказу, памылка падчас абмену кіравальнымі пакетамі, вынік праверкі або паспяховыя перамовы з наступным вынікам аўтэнтыфікацыі. Кожная з іх належыць розным уладальнікам. Гэты адзіны радок вырашае, які раздзел ніжэй прымяняецца.

Захавайце тэкст памылкі разам з версіяй кліента, канчатковай кропкай і транспартам. Трымайце ключы, паролі і нерэдагаваныя профілі па-за ўсім, што вы публікуеце.

Дакладная першая памылка каштоўнейшая за доўгі ўрывак журнала. Яна называе этап, а этап называе ўладальніка.

Галіна першая: нічога не вярнулася

Калі кліент адправіў свой першы пакет і не атрымаў нічога прыдатнага, праблема на шляху або ў слухачы. Пераканайцеся, што профіль адпавядае опцыі, якую аператар сапраўды прапануе: адрас, порт і UDP або TCP. Затым праверце, ці дасягальная канчатковая кропка з гэтай сеткі ўвогуле. Адзначце, якая з гэтых дзвюх праверак не ўдалася, перш чым ісці далей.

Браўзер, які загружае старонку на тым жа імені хоста, даказвае толькі тое, што вэб-сэрвіс адказаў. Нават прынятае TCP-злучэнне нічога не кажа пра тое, ці OpenVPN завяршыў перамовы.

Калі профіль працуе ў іншай даверанай сетцы, захавайце гэтае параўнанне. Яно лакалізуе абмежаванне на шлях або пасрэдніка.

Галіна другая: кіравальны канал не супадае

Калі абмен пачынаецца і затым затынаецца, першымі падазронымі становяцца налады кіравальнага канала. tls-auth і tls-crypt павінны адпавядаць разгортванню, а матэрыял з іншага сервера не дасць карыснага абмену. Гэты збой адбываецца да любога ўваходу ў акаўнт. Профіль, скапіяваны са старога сервера, — звычайная прычына.

Скід пароля не замяняе гэтыя налады, і пазычанне ключа з іншай службы не з'яўляецца выпраўленнем сумяшчальнасці. Атрымайце профіль праз правераны канал аператара і адзначце версію кліента, якую ён чакае.

Запішыце канкрэтную памылку перамоваў, а не ўключайце цэлы стос старых алгарытмаў, каб паглядзець, што спрацуе. Менавіта захоплены тэкст памылкі дазваляе аператару праверыць свой бок.

Галіна трэцяя: сертыфікат адхілены

Яўны збой праверкі называе сертыфікат, які яму не падабаецца. Спачатку праверце гадзіннік прылады, затым прачытайце, які аб'ект не прайшоў: сертыфікат сервера, сертыфікат кліента або эмітэнт у ланцугу. Заканчэнне тэрміну, недавераны эмітэнт і нечаканая ідэнтычнасць — гэта тры розныя паведамленні.

Трымайце праверку ўключанай, пакуль атрымліваеце выпраўлены матэрыял. Прыняцце непатрэбнага сертыфіката прыбірае памылку, не даказваючы, што вы дасягнулі патрэбнага сервера.

Адзначце, ці збой ідзе за сеткай або за профілем. Памылка сертыфіката, якая ўзнікае ўсюды, не з'яўляецца праблемай шляху.

Галіна чацвёртая: перамовы скончыліся, а нешта іншае не ўдалося

Як толькі абмен ідэнтычнасцю ўдаецца, рэшткавы збой належыць аўтэнтыфікацыі або маршрутызацыі. Яўная адмова акаўнта — пытанне аўтэнтыфікацыі, а падключаны тунель з недасягальнымі сайтамі — гэта пытанне маршрутызацыі або DNS. Працягваць замяняць опцыі TLS у гэты момант — значыць шкодзіць этапу, які ўжо працаваў.

Калі паведамляеце пра праблему, скажыце, ці не працуюць усе сеткі, ці працуе іншы профіль і ці сервер запісаў спробу. Цішыня з боку сервера і адмова з яго боку стаяць на розных межах.