Nid yw cysylltiad wedi’i wrthod yn broblem tystysgrif: llyfr rhedeg VPN

Mae’r cleient yn dweud bod y cysylltiad wedi’i wrthod yn syth ar ôl i chi ailddatgan y CRL, felly mae’r CRL yn edrych yn euog. Nac ydyw. Ateb haen cludo yw gwrthod, ac mae dilysu’r dystysgrif yn digwydd yn hwyrach, y tu mewn i ysgwyd llaw’r twnnel. Mae’r amseru yn gyd-destun, nid yn brawf.

Mae dau wiriad yn gwahanu’r achosion mewn llai na munud, ac nid oes yr un ohonynt yn cyffwrdd â’r gosodiadau ymddiriedaeth.

Darllenwch y gwall ar yr haen a’i cynhyrchodd

Mae ECONNREFUSED o connect yn golygu bod yr ymgais cludo wedi’i gwrthod: rhywbeth wedi ateb â reset, neu mae’r stac wedi adrodd am borthladd na ellir ei gyrraedd. Ni all problem dystysgrif gynhyrchu’r gwall hwnnw, oherwydd nid yw ysgwyd llaw TLS byth yn dechrau heb gysylltiad cludo. Os gwelwch wrthodiad, nid yw’r cleient erioed wedi cyrraedd yn ddigon pell i gyflwyno tystysgrif. Mae’r ffaith unigol honno yn diystyru dirymu fel achos.

Mae’r gwrthwyneb hefyd yn dal. Mae tystysgrif wedi’i dirymu yn cynhyrchu cysylltiad TCP wedi’i gwblhau ac ysgwyd llaw wedi methu, a gofnodir ar y gweinydd fel gwall dilysu.

Gwrthod TCP: neb yn gwrando

Ar gyfer TCP, gwiriwch a yw’r achos bwriadedig yn rhedeg ac wedi’i rwymo i’r cyfeiriad a’r porthladd yn y proffil. Mae ss -lntp yn dangos gwrandawyr, ac mae eu habsenoldeb yn esboniad arferol. Mae mur gwarchod sy’n gwrthod yn hytrach na gollwng yn cynhyrchu’r un neges ar ochr y cleient, a dyna pam rydych yn gwirio’r ddau.

Gwiriwch y teulu cyfeiriadau hefyd. Bydd gwasanaeth sydd wedi’i rwymo i 127.0.0.1 neu i IPv6 yn unig yn gwrthod cleient sy’n datrys i’r llall.

Yna darllenwch log y gwasanaeth yn hytrach na dyfalu. Gall ailgychwyn ar ôl cynnal a chadw CA fethu ar ffeil annarllenadwy neu ar goll a byth gyrraedd y cyflwr gwrando, ac mae’r log yn enwi’r ffeil. Methiant cychwyn yw hwnnw, gwall gwahanol i dystysgrif wedi’i gwrthod.

Nid oes gan UDP ysgwyd llaw i’w wrthod

OpenVPN dros UDP nid yw’n sefydlu cysylltiad yn ystyr TCP, felly nid oes unrhyw beth i’w wrthod ar adeg connect. Ar Linux, gall gwall a ddangosir gan soced UDP ddod o ICMP port-unreachable a gynhyrchwyd gan ddatagram cynharach. Mae tudalen lawlyfr udp(7) yn disgrifio’r ymddygiad anghydamserol hwnnw.

Dyna pam y gall cleient UDP argraffu gwrthodiad tra bo proses y gweinydd yn rhedeg ond heb ei rwymo i’r cyfeiriad a ddisgwylir.

Ble mae CRL yn cael ei wirio mewn gwirionedd

Ymgynghorir â’r CRL yn ystod ysgwyd llaw TLS, ar ôl i’r cymar gyflwyno ei dystysgrif, a dim ond os yw cyfluniad y gweinydd yn ei alluogi. Mae opsiwn crl-verify OpenVPN yn pwyntio at y ffeil, ac mae methiant yn ymddangos yn log y gweinydd fel gwall dilysu sy’n enwi’r dystysgrif.

Felly mae cleient wedi’i ddirymu yn cysylltu ar haen cludo ac yna’n methu dilysu. Yr un gweinydd, yr un porthladd, neges hollol wahanol.

Gwiriwch ddyroddwr y CRL a’r dyddiadau dilysrwydd pan gyrhaeddwch y cam hwnnw. Mae CRL wedi’i lofnodi gan y CA anghywir, neu un a ddaeth i ben cyn i’r cleient gysylltu, yn cynhyrchu gwallau dilysu nad oes ganddynt ddim i’w wneud â thystysgrif y cleient ei hun.

Llyfr rhedeg byr ar gyfer y tro nesaf

Cadarnhewch y cludo yn gyntaf: gwrandawr yn bresennol, teulu cyfeiriadau cywir, mur gwarchod heb wrthod. Yna cadarnhewch fod y gwasanaeth wedi cyrraedd ei gyflwr gwrando trwy ddarllen y log cychwyn. Yna, a dim ond yna, edrychwch ar wallau ysgwyd llaw am negeseuon dilysu. Cadwch y drefn honno’n sefydlog, oherwydd mae pob cam yn dileu dosbarth cyfan o achosion.

Nodwch y cludo, y cyrchfan a ddatryswyd, y porthladd a thestun union y gwall. Mae ailosod y cleient yn dinistrio’r dystiolaeth honno ac fel arfer yn newid dim.