Terfyn amser TLS chwe deg eiliad: pa ben a stopiodd mewn gwirionedd?

Mae'r cleient yn rhoi'r gorau iddi ar ôl chwe deg eiliad gyda neges am drafodaeth allweddi, ac nid yw'r gliniadur yn cynnig unrhyw farn am pam. Mae'r frawddeg honno'n disgrifio amynedd y cleient, nid ymddygiad y gweinydd. Mae tair sefyllfa hollol wahanol yn ei chynhyrchu: ni chyrhaeddodd y pecyn y gwasanaeth cywir erioed, fe daflodd y gwasanaeth ef cyn cofnodi unrhyw beth, neu fe wrthododd y gwasanaeth ef a dweud hynny yn rhywle nad yw'r cleient yn gallu ei weld. Cydberthyn un ymgais ar y ddau ben sy'n eu gwahanu.

Rhowch unfathrwydd i un ymgais y gallwch chi chwilio amdano

Nodwch yr amser cychwyn gyda'i barth amser, enw'r proffil, y cyrchfan a ddatryswyd gan y cleient mewn gwirionedd, y porthladd, ac a yw'r cysylltiad yn UDP neu'n TCP. Os yw'r proffil yn cynnwys sawl cofnod anghysbell, nodwch pa un a ddewiswyd gan yr ymgais honno, oherwydd efallai bod ailgynnig wedi symud i'r cofnod nesaf heb newid y ffeil rydych chi'n ei darllen.

Cymerwch y pwynt terfyn o'r log gweithredol yn hytrach na'r lawrlwythiad rydych chi'n ei gofio. Mae proffil sy'n pwyntio at gyfeiriad preifat yn hollol ddilys ac yn hollol anfuddiol o rwydwaith na all lwybraiddio ato, ac mae'r achos hwnnw'n edrych yn union yr un fath â gweinydd sydd wedi cwympo.

Yna gofynnwch i'r gweithredwr am yr un ffenestr ar y fersiwn arfaethedig. Mae gwyriad cloc yn ddigon cyffredin i wahaniaeth o ychydig funudau wneud i ddigwyddiad cyfatebol ymddangos yn absennol, felly cofnodwch y gwyriad yn hytrach na chasglu nad oedd unrhyw ddigwyddiad.

Pedair arsylwi, pedwar cam nesaf gwahanol

Yr hyn y mae'r gweinydd yn ei gofnodi sy'n penderfynu'r gangen. Mae absenoldeb unrhyw ymgais yn awgrymu cyfeiriadu, cludiant neu'r llwybr at y gwasanaeth. Mae pecynnau sy'n cyrraedd ac yn diflannu cyn cyfnewidiad cyffredin yn awgrymu gofynion sianel reoli'r gwasanaeth gwirioneddol. Mae gwrthodiad enwir yn awgrymu'r gwrthrych a enwir ganddo. Mae atebion sy'n gadael y gweinydd ond nad ydynt byth yn cyrraedd y cleient yn awgrymu'r llwybr dychwelyd.

Mae log cymhwysiad gwag yn dystiolaeth wannach nag y mae'n edrych. Mae cofnodi'n dechrau ar bwynt penodol yn y cyfnewidiad, ac nid yw pecynnau a daflwyd cyn y pwynt hwnnw'n gadael unrhyw ôl yn y ffeil rydych chi'n ei darllen. Lle mae awdurdod i wneud hynny, gall y gweithredwr ddefnyddio arsylwadau gwasanaeth a rhwydwaith i weld a gyrhaeddodd unrhyw beth o gwbl.

Cadwch y pedwar canlyniad ar wahân yn eich nodiadau. Y demtasiwn yw eu cyfuno'n «nid yw'r gweinydd yn ymateb», a dyna'r ymadrodd sy'n anfon pobl i newid seiffrau pan mai'r gwir broblem yw rheol mur gwarchod. Mae nodyn sy'n cofnodi'r gair terfyn amser yn unig wedi taflu'r gwahaniaeth y gwnaethoch chi dalu amdano gynnau.

Trwsiwch y cam y mae'r dystiolaeth yn ei enwi

Mae cysylltiad TCP sy'n cwblhau yn profi'n unig fod rhywbeth wedi derbyn soced. Nid yw'n profi mai'r gwrandäwr yw'r gwasanaeth OpenVPN a gyflunioch chi, ac mae gweinydd gwe ar yr un enw gwesteiwr yn ateb porwr yn berffaith tra'n amherthnasol i'r twnnel.

Os yw'r gweinydd yn adrodd am restr dirymu sydd wedi dod i ben, mae hynny'n ffaith lawer mwy penodol na therfyn amser terfynol y cleient, ac mae'r atgyweiriad yn perthyn i'r awdurdod tystysgrifau yn hytrach na'r rhwydwaith. Os yw'r ddau ben yn anghytuno am amddiffyniad sianel reoli neu ddeunydd a rennir, nid yw ailosod cyfrinair yn newid dim, oherwydd mae'r tafliad yn digwydd cyn i unrhyw gymhwyster gael ei archwilio.

Newidiwch un peth y mae'r dystiolaeth yn ei gefnogi mewn gwirionedd, yna ailadroddwch yr un proffil yn erbyn yr un pwynt terfyn. Cadwch y digwyddiad newydd cyntaf os yw'r cysylltiad yn mynd yn bellach, oherwydd y digwyddiad hwnnw yw cam nesaf yr ymchwiliad, nid problem newydd.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Beth mae estyn y ffenestr yn ei newid mewn gwirionedd

Chwe deg eiliad yw ffenestr ysgwyd llaw'r cleient, ac mae'r cyfeirlyfr cleient cymunedol yn dogfennu'r opsiwn sy'n ei addasu. Mae ei godi yn gwneud i'r cleient aros yn hirach cyn rhoi'r gorau iddi. Nid yw'n gwneud i wasanaeth absennol ymddangos ac nid yw'n gwneud pecyn a wrthodwyd yn dderbyniol.

Mae defnydd cyfreithlon i ffenestr hirach ar gyswllt araf neu weinydd â llwyth trwm, ac mae'n werth ei thrio unwaith y bydd gennych dystiolaeth bod y cyfnewidiad yn symud yn araf yn hytrach nag yn digwydd o gwbl. Mae ei thrio'n gyntaf yn syml yn gohirio'r un diagnosis am funud arall ac yn gwneud y llinell amser yn anoddach ei darllen. Os yw'r llinell amser yn dangos cyfnewidiad sy'n symud ymlaen ac yna'n aros, mae'r ffenestr yn symptom o lwyth yn hytrach nag o gyrhaeddiad.