Неуспешно TLS ръкостискане в OpenVPN: на кой клон сте?

Редът, който казва, че TLS ръкостискането е неуспешно, е краят на една история, а не началото ѝ. Важно е събитието непосредствено преди него, защото то назовава коя от четири много различни повреди имате. Изтичане на времето, несъответствие на контролния канал, отхвърляне на сертификат и повреда след договарянето дават едно и също заглавие. Изберете клона по доказателствата и поправката престава да бъде догадка.

Прочетете последното събитие преди повредата

Превъртете нагоре, вместо да четете последния ред. Събитието преди прекъсването обикновено назовава етапа: никакъв отговор, грешка при обмена на контролни пакети, резултат от проверка или успешно договаряне, последвано от резултат от удостоверяване. Всяко от тях принадлежи на различен собственик. Този единствен ред решава кой раздел по-долу се отнася.

Запазете текста на грешката с версията на клиента, крайната точка и транспорта. Дръжте ключове, пароли и нередактирани профили далеч от всичко, което публикувате.

Точната първа грешка струва повече от дълъг откъс от журнал. Тя назовава етапа, а етапът назовава собственика.

Клон първи: нищо не се върна

Ако клиентът е изпратил първия си пакет и не е получил нищо използваемо, проблемът е по пътя или при слушателя. Потвърдете, че профилът съответства на опция, която операторът наистина предлага: адрес, порт и UDP или TCP. След това проверете дали крайната точка е достъпна изобщо от тази мрежа. Отбележете коя от двете проверки е неуспешна, преди да продължите.

Браузър, който зарежда страница на същото име на хост, доказва само, че уеб услуга е отговорила. Дори приета TCP връзка не казва нищо дали OpenVPN е завършил договарянето.

Ако профилът работи в друга доверена мрежа, запазете това сравнение. То локализира ограничението до път или посредник.

Клон втори: контролният канал не съвпада

Когато обменът започне и след това зацикли, настройките на контролния канал са първият заподозрян. tls-auth и tls-crypt трябва да съвпадат с внедряването и материал от друг сървър няма да даде полезен обмен. Тази повреда настъпва преди всяко влизане в акаунт. Профил, копиран от по-стар сървър, е обичайният източник.

Нулирането на парола не замества тези настройки и заемането на ключ от друга услуга не е поправка за съвместимост. Вземете профила през проверения канал на оператора и отбележете версията на клиента, която той очаква.

Запишете конкретната грешка при договарянето, вместо да включвате куп по-стари алгоритми, за да видите какво ще се задържи. Уловеният текст на грешката е това, което позволява на оператора да провери своята страна.

Клон трети: сертификат беше отхвърлен

Явна повреда при проверка назовава сертификата, който не харесва. Проверете първо часовника на устройството, после прочетете кой обект е неуспешен: сървърният сертификат, клиентският сертификат или издател във веригата. Изтичане, недоверен издател и неочаквана идентичност са три различни съобщения.

Дръжте проверката включена, докато получавате коригиран материал. Приемането на несвързан сертификат премахва грешката, без да доказва, че сте стигнали до предвидения сървър.

Отбележете дали повредата следва мрежата или профила. Грешка със сертификат, която се появява навсякъде, не е проблем на пътя.

Клон четвърти: договарянето приключи и нещо друго се повреди

След като обменът на идентичност успее, останалата повреда принадлежи на удостоверяването или на маршрутизацията. Явното отхвърляне на акаунт е въпрос на удостоверяване, а свързан тунел с недостъпни сайтове е въпрос на маршрутизация или DNS. Продължаването да сменяте TLS опции в този момент уврежда етап, който вече е работил.

Когато докладвате проблема, кажете дали всяка мрежа се проваля, дали друг профил работи и дали сървърът е записал опита. Мълчанието от страна на сървъра и отхвърлянето от него стоят на различни граници.