TLS tajmaut od šezdeset sekundi: koja strana je zapravo stala?

Klijent odustaje nakon šezdeset sekundi s porukom o pregovaranju o ključevima, a laptop ne nudi mišljenje zašto. Ta rečenica opisuje strpljenje klijenta, a ne ponašanje servera. Tri sasvim različite situacije to proizvode: paket nikada nije stigao do prave usluge, usluga ga je odbacila prije nego što je išta zapisala, ili ga je usluga odbila i to rekla negdje gdje klijent ne može vidjeti. Upravo povezivanje jednog pokušaja na oba kraja ih razlikuje.

Dajte jednom pokušaju identitet koji možete tražiti

Zapišite vrijeme početka s vremenskom zonom, naziv profila, odredište koje je klijent stvarno razriješio, port i to je li veza UDP ili TCP. Ako profil nosi nekoliko udaljenih unosa, zabilježite koji je taj pokušaj odabrao, jer se ponovni pokušaj mogao prebaciti na sljedeći unos bez promjene datoteke koju čitate.

Uzmite krajnju točku iz aktivnog zapisnika, a ne iz preuzimanja kojeg se sjećate. Profil koji pokazuje na privatnu adresu potpuno je valjan i potpuno neupotrebljiv iz mreže koja ne može usmjeravati prema njoj, a taj slučaj izgleda isto kao server koji je pao.

Zatim zamolite operatera za isti prozor na predviđenoj instanci. Pomak sata dovoljno je čest da razlika od nekoliko minuta može učiniti da odgovarajući događaj izgleda odsutan, pa zabilježite pomak umjesto da zaključite da događaja nije bilo.

Četiri zapažanja, četiri različita sljedeća koraka

Ono što server zabilježi određuje granu. Odsutnost ikakvog pokušaja upućuje na adresiranje, prijenos ili put do usluge. Dolazni paketi koji nestanu prije obične razmjene upućuju na zahtjeve kontrolnog kanala stvarne usluge. Imenovano odbijanje upućuje na objekt koji imenuje. Odgovori koji napuste server, ali nikada ne stignu do klijenta, upućuju na povratni put.

Prazan zapisnik aplikacije slabiji je dokaz nego što izgleda. Zapisivanje počinje u određenoj točki razmjene, a paketi odbačeni prije te točke ne ostavljaju trag u datoteci koju čitate. Gdje je to dopušteno, operater može koristiti promatranja usluge i mreže kako bi vidio je li išta uopće stiglo.

Držite četiri ishoda odvojeno u svojim bilješkama. Napast je spojiti ih u „server ne odgovara“, a to je fraza koja ljude šalje da mijenjaju šifre kad je stvarni problem pravilo vatrozida. Bilješka koja zapisuje samo riječ tajmaut odbacila je razliku koju ste upravo platili.

Popravite fazu koju dokazi imenuju

Dovršena TCP veza dokazuje samo da je nešto prihvatilo utičnicu. Ne dokazuje da je slušatelj OpenVPN usluga koju ste konfigurirali, a web server na istom imenu hosta savršeno odgovara pregledniku dok je za tunel nebitan.

Ako server prijavi istekao popis opoziva, to je daleko konkretnija činjenica od klijentovog konačnog tajmauta, a popravak pripada tijelu za izdavanje certifikata, a ne mreži. Ako se dva kraja ne slažu o zaštiti kontrolnog kanala ili zajedničkom materijalu, poništavanje lozinke ništa ne mijenja, jer se odbacivanje događa prije nego što se pregleda bilo koji akreditiv.

Promijenite jednu stvar koju dokazi doista podupiru, zatim ponovite isti profil prema istoj krajnjoj točki. Sačuvajte prvi novi događaj ako veza ode dalje, jer je taj događaj sljedeća faza istrage, a ne novi problem.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Šta produženje prozora zapravo mijenja

Šezdeset sekundi je klijentov prozor za rukovanje i zajednička referenca za klijenta dokumentira opciju koja ga podešava. Povećanje ga čini da klijent čeka duže prije odustajanja. Ono ne čini da se odsutna usluga pojavi i ne čini odbačeni paket prihvatljivim.

Postoji legitimna upotreba duljeg prozora na sporoj vezi ili jako opterećenom serveru i vrijedi ga isprobati kad imate dokaze da razmjena napreduje sporo, a ne da se ne događa. Isprobavanje najprije samo odgađa istu dijagnozu za još jednu minutu i čini vremensku crtu težom za čitanje. Ako vremenska crta pokazuje razmjenu koja napreduje pa zastane, prozor je simptom opterećenja, a ne dostupnosti.