Шасцідзесяцісекундны тайм-аўт TLS: які бок насамрэч спыніўся?

Кліент здаецца праз шэсцьдзесят секунд з паведамленнем пра ўзгадненне ключоў, а ноўтбук не выказвае ніякіх меркаванняў пра прычыну. Гэты сказ апісвае цярплівасць кліента, а не паводзіны сервера. Існуюць тры зусім розныя сітуацыі: пакет так і не дайшоў да патрэбнай службы, служба адкінула яго, перш чым нешта залагіраваць, або служба адмовіла яму і паведаміла пра гэта там, дзе кліент не бачыць. Менавіта супастаўленне адной спробы на абодвух канцах адрознівае іх.

Дайце адной спробе ідэнтычнасць, якую можна знайсці

Запішыце час пачатку з яго часовым поясам, імя профілю, пункт прызначэння, які кліент фактычна атрымаў, порт і тое, ці злучэнне UDP або TCP. Калі профіль змяшчае некалькі аддаленых запісаў, адзначце, які з іх выбрала гэтая спроба, бо паўтор можа перайсці да наступнага запісу, не змяняючы файла, які вы чытаеце.

Бярыце канчатковы пункт з актыўнага журнала, а не з загрузкі, якую памятаеце. Профіль, які паказвае на прыватны адрас, цалкам сапраўдны і цалкам непрыдатны з сеткі, якая не можа маршрутызаваць да яго, і гэты выпадак выглядае гэтак жа, як сервер, які не працуе.

Затым папрасіце аператара пра тое ж акно на патрэбным экзэмпляры. Разнасць гадзіннікаў настолькі распаўсюджаная, што зрух у некалькі хвілін можа зрабіць адпаведную падзею незаўважнай, таму запішыце зрух, а не рабіце выснову, што падзеі не было.

Чатыры назіранні, чатыры розныя наступныя крокі

Што запісвае сервер, вызначае галіну. Адсутнасць любой спробы паказвае на адрасацыю, транспарт або шлях да службы. Пакеты, якія прыходзяць і знікаюць перад звычайным абменам, паказваюць на патрабаванні кантрольнага канала фактычнай службы. Названая адмова паказвае на аб'ект, які яна называе. Адказы, што пакідаюць сервер, але ніколі не дасягаюць кліента, паказваюць на зваротны шлях.

Пусты журнал прыкладання — слабейшае сведчанне, чым здаецца. Лагаванне пачынаецца ў пэўным пункце абмену, і пакеты, адкінутыя да гэтага пункта, не пакідаюць слядоў у файле, які вы чытаеце. Там, дзе гэта дазволена, аператар можа выкарыстоўваць назіранні за службай і сеткай, каб убачыць, ці нешта наогул прыйшло.

Трымайце чатыры вынікі асобна ў сваіх нататках. Спакуса — зліць іх у «сервер не адказвае», а гэта фраза, якая штурхае людзей змяняць шыфры, калі сапраўдная праблема — правіла брандмаўэра. Нататка, якая запісвае толькі слова тайм-аўт, выкінула адрозненне, за якое вы толькі што заплацілі.

Выпраўце этап, які называюць сведчанні

Завершанае TCP-злучэнне даказвае толькі тое, што нешта прыняло сокет. Яно не даказвае, што слухач — гэта служба OpenVPN, якую вы наладзілі, а вэб-сервер на тым жа імені хоста ідэальна адказвае браўзеру, хоць да тунеля ён не мае дачынення.

Калі сервер паведамляе пра скончаны спіс адклікання, гэта значна больш канкрэтны факт, чым канчатковы тайм-аўт кліента, і выпраўленне належыць цэнтру сертыфікацыі, а не сетцы. Калі два бакі не пагаджаюцца наконт абароны кантрольнага канала або агульнага матэрыялу, скід пароля нічога не змяняе, бо адкіданне адбываецца раней за праверку любых уліковых даных.

Змяніце адну рэч, якую сведчанні сапраўды падтрымліваюць, затым паўтарыце той жа профіль супраць таго ж канчатковага пункта. Захавайце першую новую падзею, калі злучэнне прасунулася далей, бо гэтая падзея — наступны этап расследавання, а не новая праблема.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Што насамрэч змяняе падаўжэнне акна

Шэсцьдзесят секунд — гэта акно рукапаціску кліента, і даведнік супольнасці па кліенце дакументуе опцыю, якая яго наладжвае. Павелічэнне прымушае кліента чакаць даўжэй, перш чым здацца. Яно не прымушае адсутную службу з'явіцца і не робіць адкінуты пакет прыдатным.

Ёсць законнае выкарыстанне даўжэйшага акна на павольным канале або моцна загружаным серверы, і варта паспрабаваць яго, калі ў вас ёсць сведчанні, што абмен ідзе павольна, а не не адбываецца зусім. Спроба спачатку проста адкладае той жа дыягназ яшчэ на хвіліну і робіць часовую шкалу цяжэйшай для чытання. Калі шкала паказвае абмен, які прасоўваецца, а затым спыняецца, акно — гэта сімптом нагрузкі, а не дасяжнасці.