P_CONTROL_HARD_RESET_CLIENT_V2 yn y log: a yw'n wall?

Mae'r llinell yn ailadrodd bob ychydig eiliadau ac yn edrych fel achos popeth: pecyn o'r enw control hard reset, yn dod o gleient nad yw byth yn cyrraedd unrhyw le. Nid gwall ydyw. Dyma neges gyntaf sesiwn newydd, a'r ailadrodd yw symptom rhywbeth arall sy'n methu ymhellach ymlaen. Gwahanu'r hyn y mae'r label yn ei ddweud oddi wrth yr hyn a wnaeth y cysylltiad nesaf yw'r holl ddiagnosis.

Mae'r opcode yn enwi safle yn y protocol

OpenVPN yn amlblethu sawl math o becyn dros un soced, ac mae'r opcode yn dweud wrth y derbynnydd pa fath y mae'n ei ddal. Mae pecynnau hard-reset yn agor sesiwn, mae pecynnau rheoli yn cario deunydd ysgwyd llaw, mae cydnabyddiaethau yn cadarnhau derbyn, ac mae pecynnau data yn cario llwyth y twnnel. Mae darllen y beit cyntaf yn dweud ble yn y cyfnewid hwnnw y mae'r pecyn yn perthyn, ac mae diffiniadau pecyn y cod ffynhonnell yn enwi pob teulu yn benodol.

Dyna'r cyfan y mae'n ei ddweud. Mae pecyn a labelwyd fel ailosod cychwynnol y cleient yn profi bod y pecyn wedi cyrraedd eich pwynt arsylwi a bod y cymar eisiau dechrau sesiwn. Nid yw'n profi bod y cleient wedi ymddiried yn eich tystysgrif, bod ei gyfrolau wedi'u derbyn, nac y daeth sianel ddata yn ddefnyddiadwy erioed.

Mae'r ôl-ddodiad V2 yn farcyn cenhedlaeth protocol ar gyfer y teulu pecyn hwnnw, nid fersiwn cynnyrch ac nid gosodiad yr ydych yn ei osod. Nid oes dim yn yr enw yn cyfeirio at ailosod twnnel, ailgychwyn gwasanaeth na chlirio storfa.

Beth mae'r cleient yn ei wneud mewn gwirionedd ar y pryd

Mae'r cleient yn agor dynodydd sesiwn y bydd y ddwy ochr yn cysylltu traffig rheoli dilynol ag ef. Gyda diogelwch sianel reoli wedi'i ffurfweddu, mae'r pecyn cyntaf hwnnw eisoes yn cario'r HMAC sy'n caniatáu i'r derbynnydd benderfynu a ddylid gwario unrhyw ymdrech ar weddill y cyfnewid. Mae derbynnydd na all ei wirio yn gollwng y pecyn yn dawel, a dyna pam mae allwedd a rennir yn anghywir yn edrych fel cleient yn siarad i'r gwagle.

Nid oes dim gweladwy i'r defnyddiwr wedi digwydd eto. Nid oes tystysgrif wedi'i dilysu, nid oes enw defnyddiwr wedi'i gynnig ac nid oes cyfeiriad twnnel wedi'i neilltuo. Rhagarweiniad yr ysgwyd llaw yw'r ailosod, felly mae unrhyw farn am y cysylltiad ar y pwynt hwn yn gynamserol.

Ar gyfer dolen ailgysylltu segur, yr union fanylyn diddorol yw'r cyfwng. Mae cleient sy'n ceisio eto ar gylch sefydlog heb symud ymlaen fel arfer yn cael ei wrthod cyn iddo allu symud, ac mae'r rheswm yn log y cymar yn hytrach nag yn enw'r pecyn.

Ble mae'r methiant go iawn yn cuddio ar ôl yr ailosod

Darllenwch y ddau log ochr yn ochr a dod o hyd i'r digwyddiad cyntaf nad yw'n ailosod. Ar y cleient, adroddir methiant dilysu tystysgrif gyda'r rheswm penodol: tystysgrif wedi dod i ben, enw yn anghytuno, neu ddyfarnwr anhysbys. Ar y gweinydd, adroddir gwrthodiad cyfrolau fel methiant dilysu gyda'i reswm ei hun. Mae'r ddau yn llawer mwy penodol na golwg ailadroddus y gweinydd ar ymdrechion newydd.

Parwch un cynnig yn ôl stamp amser yn hytrach na darllen pob log ar wahân, oherwydd mae'r un methiant yn ymddangos yn y ddau le gyda geiriau a difrifoldeb gwahanol. Mae'r cymar sy'n rhoi'r gorau iddi fel arfer yn nodi pam.

Os nad yw'r naill ochr na'r llall yn adrodd gwrthodiad ac mae'r cyfnewid yn dal i stondio, cyrhaeddedd yw'r ffin yn hytrach nag ymddiriedaeth. Mae mur tanio yn gollwng y cyfeiriad dychwelyd, dyfais cyfieithu cyfeiriadau rhwydwaith sy'n gorffen y mapio, neu broblem MTU sy'n lladd pecynnau ysgwyd llaw mwy i gyd yn cynhyrchu cyfnewid a stondiwyd heb unrhyw wall dilysu o gwbl.

grep -nE 'VERIFY|AUTH_FAILED|TLS Error|SIGUSR1' /var/log/openvpn*.log

Nid yw'r chwilio hwnnw'n ddiagnosis ar ei ben ei hun, ond mae'n eich symud o eirfa'r protocol i ddosbarth methiant go iawn mewn un cam.

Pam mai dadactifadu'r dilysu yw'r adwaith anghywir

Pan fydd yr ailosod yn parhau i ymddangos, y gwelliant cyflymaf ei olwg yw dadactifadu dilysu tystysgrifau neu ollwng diogelwch sianel reoli fel y bydd rhywbeth yn cysylltu. Mae hynny'n cyfnewid methiant diagnostigadwy am un anodd ei ddiagnosio, ac yn gadael y defnydd yn derbyn cymarau y cafodd ei adeiladu i'w gwrthod.

Newidiwch y ffin a fethodd mewn gwirionedd yn lle hynny. Mae problem ymddiriedaeth yn perthyn i'r awdurdod tystysgrifau a'r proffil sy'n cyfeirio ato. Mae problem amser yn perthyn i'r cloc. Mae problem cyfrolau yn perthyn i'r backend dilysu a'i gwrthododd, ac mae cymar anhygyrch yn perthyn i'r llwybr rhwng y ddau westeiwr.

Mae'r opcode yn ddefnyddiol mewn sgwrs cymorth am un peth: mae'n dweud wrthych fod y cymar wedi mynd yn ddigon pell i geisio. Yr hyn a ddigwyddodd wedyn yw'r hyn y mae angen i chi ei wybod, ac mae'n cael ei gofnodi yn y log hwnnw sy'n cofnodi'r gwrthodiad penodol cyntaf. Dechreuwch yno, ac mae'r llinell ailosod yn peidio ag edrych fel achos ac yn dechrau edrych fel stamp amser.