Selhalo navázání TLS v OpenVPN: na které větvi jste?

Řádek, který říká, že navázání TLS selhalo, je konec příběhu, ne jeho začátek. Důležitá je událost těsně před ním, protože ta pojmenovává, kterou ze čtyř velmi odlišných poruch máte. Časový limit, neshoda řídicího kanálu, odmítnutí certifikátu a selhání po vyjednávání dávají stejný titulek. Vyberte větev podle důkazů a oprava přestane být hádankou.

Přečtěte si poslední událost před selháním

Rolujte nahoru, místo abyste četli poslední řádek. Událost před odpojením obvykle pojmenovává fázi: žádná odpověď, chyba při výměně řídicích paketů, výsledek ověření nebo úspěšné vyjednávání následované výsledkem autentizace. Každá z nich patří jinému vlastníkovi. Ten jediný řádek rozhoduje, která část níže platí.

Uložte text chyby s verzí klienta, koncovým bodem a transportem. Klíče, hesla a nezredigované profily držte mimo vše, co veřejně vkládáte.

Přesná první chyba má větší cenu než dlouhý výňatek z logu. Pojmenovává fázi a fáze pojmenovává vlastníka.

Větev první: nic se nevrátilo

Pokud klient odeslal první paket a nedostal nic použitelného, problém je na cestě nebo u posluchače. Potvrďte, že profil odpovídá možnosti, kterou operátor skutečně nabízí: adresa, port a UDP nebo TCP. Poté zkontrolujte, zda je koncový bod z této sítě vůbec dostupný. Poznamenejte si, která z těch dvou kontrol selhala, než budete pokračovat.

Prohlížeč, který načte stránku na stejném názvu hostitele, dokazuje jen to, že webová služba odpověděla. I přijaté TCP spojení nic neříká o tom, zda OpenVPN dokončil vyjednávání.

Pokud profil funguje v jiné důvěryhodné síti, toto srovnání si ponechte. Lokalizuje omezení na cestu nebo prostředníka.

Větev druhá: řídicí kanál nesouhlasí

Když výměna začne a pak se zastaví, první podezřelý je nastavení řídicího kanálu. tls-auth a tls-crypt musí odpovídat nasazení a materiál z jiného serveru užitečnou výměnu nevytvoří. Toto selhání nastává před jakýmkoli přihlášením k účtu. Profil zkopírovaný ze staršího serveru je obvyklý zdroj.

Obnovení hesla tato nastavení nenahrazuje a vypůjčení klíče z jiné služby není opravou kompatibility. Získejte profil ověřeným kanálem operátora a poznamenejte si verzi klienta, kterou očekává.

Zaznamenejte konkrétní chybu vyjednávání, místo abyste zapínali hromadu starších algoritmů, abyste viděli, co vydrží. Zachycený text chyby je to, co operátorovi umožní zkontrolovat jeho stranu.

Větev třetí: certifikát byl odmítnut

Výslovné selhání ověření pojmenovává certifikát, který se mu nelíbí. Nejprve zkontrolujte hodiny zařízení, potom čtěte, který objekt selhal: certifikát serveru, certifikát klienta nebo vydavatel v řetězci. Vypršení platnosti, nedůvěryhodný vydavatel a neočekávaná identita jsou tři různé zprávy.

Nechte ověřování zapnuté, dokud nezískáte opravený materiál. Přijetí nesouvisejícího certifikátu odstraní chybu, aniž by prokázalo, že jste dosáhli zamýšleného serveru.

Poznamenejte si, zda selhání následuje síť, nebo profil. Chyba certifikátu, která se objevuje všude, není problém cesty.

Větev čtvrtá: vyjednávání skončilo a selhalo něco jiného

Jakmile výměna identity uspěje, zbývající selhání patří autentizaci nebo směrování. Výslovné odmítnutí účtu je otázka autentizace a připojený tunel s nedostupnými weby je otázka směrování nebo DNS. Pokračovat v tom okamžiku ve výměně voleb TLS poškozuje fázi, která už fungovala.

Když problém hlásíte, řekněte, zda selhává každá síť, zda funguje jiný profil a zda server pokus zaznamenal. Ticho na straně serveru a odmítnutí z jeho strany stojí na různých hranicích.