Шестдесетсекунден таймаут на TLS: кой край всъщност спря?

Клиентът се отказва след шестдесет секунди със съобщение за договаряне на ключове, а лаптопът не изразява мнение защо. Това изречение описва търпението на клиента, а не поведението на сървъра. Три съвсем различни ситуации го предизвикват: пакетът така и не е стигнал до правилната услуга, услугата го е изхвърлила, преди да запише нещо, или услугата го е отхвърлила и го е казала някъде, където клиентът не може да види. Съпоставянето на един опит от двата края е това, което ги разграничава.

Дайте на един опит идентичност, която можете да търсите

Запишете началния час с часовата му зона, името на профила, дестинацията, която клиентът действително е разрешил, порта и дали връзката е UDP или TCP. Ако профилът съдържа няколко отдалечени записа, отбележете кой от тях е избрал този опит, защото повторен опит може да е преминал към следващия запис, без да променя файла, който четете.

Вземете крайната точка от активния журнал, а не от изтеглянето, което помните. Профил, сочещ към частен адрес, е напълно валиден и напълно неизползваем от мрежа, която не може да маршрутизира към него, и този случай изглежда идентичен със сървър, който не работи.

След това помолете оператора за същия прозорец на предвидената инстанция. Разминаването на часовниците е достатъчно често, че отместване от няколко минути може да направи съответното събитие да изглежда липсващо, затова запишете отместването, вместо да заключите, че не е имало събитие.

Четири наблюдения, четири различни следващи стъпки

Това, което сървърът записва, определя клона. Липсата на какъвто и да е опит сочи към адресиране, транспорт или пътя до услугата. Пристигащи пакети, които изчезват преди обикновен обмен, сочат към изискванията на контролния канал на действителната услуга. Отказът с име сочи към обекта, който назовава. Отговорите, които напускат сървъра, но никога не достигат до клиента, сочат към обратния път.

Празният журнал на приложението е по-слабо доказателство, отколкото изглежда. Записването започва в определен момент от обмена, а пакетите, изхвърлени преди този момент, не оставят следа във файла, който четете. Където е разрешено, операторът може да използва наблюдения на услугата и мрежата, за да види дали изобщо е пристигнало нещо.

Дръжте четирите изхода отделно в бележките си. Изкушението е да ги слеете в „сървърът не отговаря“, а това е фразата, която кара хората да сменят шифри, когато истинският проблем е правило на защитната стена. Бележка, която записва само думата таймаут, е изхвърлила разграничението, за което току-що платихте.

Поправете етапа, който доказателствата назовават

Завършена TCP връзка доказва само, че нещо е приело сокет. Тя не доказва, че слушателят е услугата OpenVPN, която сте конфигурирали, а уеб сървър на същото име на хост отговаря на браузър перфектно, докато е без значение за тунела.

Ако сървърът съобщи за изтекъл списък за отзоваване, това е далеч по-конкретен факт от евентуалния таймаут на клиента и поправката принадлежи на сертификатния орган, а не на мрежата. Ако двата края не са съгласни относно защитата на контролния канал или споделения материал, нулирането на парола не променя нищо, защото изхвърлянето става преди да се провери каквото и да е удостоверение.

Променете едно нещо, което доказателствата действително подкрепят, след което повторете същия профил към същата крайна точка. Запазете първото ново събитие, ако връзката отиде по-далеч, защото това събитие е следващият етап от разследването, а не нов проблем.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Какво всъщност променя удължаването на прозореца

Шестдесет секунди са прозорецът за ръкостискане на клиента и общностната справка за клиента документира опцията, която го настройва. Увеличаването му кара клиента да чака по-дълго, преди да се откаже. То не кара липсваща услуга да се появи и не прави отхвърлен пакет приемлив.

Има законна употреба на по-дълъг прозорец при бавна връзка или силно натоварен сървър и си струва да го опитате, след като имате доказателства, че обменът напредва бавно, а не че не се случва. Опитът му първо просто отлага същата диагноза с още една минута и прави времевата линия по-трудна за четене. Ако времевата линия показва обмен, който напредва и после засяда, прозорецът е симптом на натоварване, а не на достъпност.