Šedesátisekundový časový limit TLS: která strana se vlastně zastavila?

Klient to po šedesáti sekundách vzdá se zprávou o vyjednání klíčů a notebook k tomu neřekne, proč. Ta věta popisuje trpělivost klienta, ne chování serveru. Způsobují to tři zcela odlišné situace: paket se nikdy nedostal ke správné službě, služba ho zahodila dřív, než cokoli zalogovala, nebo ho odmítla a řekla to někde, kde to klient nevidí. Právě korelace jednoho pokusu na obou koncích je odděluje.

Dejte jednomu pokusu identitu, kterou dokážete dohledat

Zapište čas začátku s jeho časovým pásmem, název profilu, cíl, který klient skutečně přeložil, port a zda je spojení UDP, nebo TCP. Pokud profil nese několik vzdálených položek, poznamenejte, kterou si tento pokus vybral, protože opakovaný pokus se mohl přesunout na další položku, aniž by změnil soubor, který čtete.

Vezměte koncový bod z aktivního logu, ne ze stahování, které si pamatujete. Profil ukazující na soukromou adresu je zcela platný a zcela nepoužitelný ze sítě, která k ní neumí směrovat, a tento případ vypadá stejně jako server, který je mimo provoz.

Pak požádejte provozovatele o stejné okno na zamýšlené instanci. Odchylka hodin je dost běžná na to, aby rozdíl několika minut způsobil, že se odpovídající událost jeví jako nepřítomná, takže odchylku zaznamenejte, místo abyste usoudili, že žádná událost nebyla.

Čtyři pozorování, čtyři různé další kroky

Co server zaznamená, určuje větev. Nepřítomnost jakéhokoli pokusu ukazuje na adresování, transport nebo cestu ke službě. Příchozí pakety, které zmizí před běžnou výměnou, ukazují na požadavky řídicího kanálu skutečné služby. Pojmenované odmítnutí ukazuje na objekt, který pojmenovává. Odpovědi, které opustí server, ale nikdy nedorazí ke klientovi, ukazují na zpáteční cestu.

Prázdný aplikační log je slabší důkaz, než se zdá. Logování začíná v určitém bodě výměny a pakety zahozené před tímto bodem nezanechají v souboru, který čtete, žádnou stopu. Kde je to povoleno, může provozovatel použít pozorování služby a sítě a zjistit, zda vůbec něco dorazilo.

Držte čtyři výsledky v poznámkách odděleně. Pokušení je sloučit je do „server neodpovídá“, což je fráze, která lidi posílá měnit šifry, když je skutečným problémem pravidlo firewallu. Poznámka, která zaznamená jen slovo časový limit, zahodila rozlišení, za které jste právě zaplatili.

Opravte fázi, kterou důkazy pojmenovávají

Dokončené TCP spojení dokazuje jen to, že něco přijalo socket. Nedokazuje, že naslouchající je služba OpenVPN, kterou jste nakonfigurovali, a webový server na stejném názvu hostitele dokonale odpovídá prohlížeči, zatímco pro tunel je irelevantní.

Pokud server hlásí prošlý seznam odvolaných certifikátů, je to mnohem konkrétnější fakt než konečný časový limit klienta a oprava patří certifikační autoritě, ne síti. Pokud se oba konce neshodnou na ochraně řídicího kanálu nebo sdíleném materiálu, reset hesla nic nezmění, protože zahození nastane dřív, než se prozkoumá jakýkoli údaj.

Změňte jednu věc, kterou důkazy skutečně podporují, a potom zopakujte stejný profil proti stejnému koncovému bodu. Pokud spojení postoupí dál, zachovejte první novou událost, protože ta událost je další fáze vyšetřování, ne nový problém.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Co prodloužení okna skutečně mění

Šedesát sekund je okno navázání spojení na straně klienta a komunitní reference klienta dokumentuje volbu, která ho upravuje. Zvýšení způsobí, že klient čeká déle, než to vzdá. Nezpůsobí, že se nepřítomná služba objeví, a neudělá odmítnutý paket přijatelným.

Delší okno má oprávněné použití na pomalém spoji nebo silně zatíženém serveru a stojí za vyzkoušení, když máte důkazy, že výměna postupuje pomalu, a ne že se neděje. Vyzkoušet ho nejdřív jen oddálí stejnou diagnózu o další minutu a ztíží čtení časové osy. Pokud časová osa ukazuje výměnu, která postupuje a pak se zasekne, je okno příznakem zatížení, ne dosažitelnosti.