Nid yw ailosodiad TCP yn profi bod eich VPN yn cael ei rwystro

Mae «cysylltiad wedi’i ailosod, yn ailddechrau» yn ymddangos yng nghofnod y cleient, ac mae’r casgliad yn cyrraedd cyn y dystiolaeth. Mae rhywun yn penderfynu bod y rhwydwaith yn rhwystro’r VPN, neu fod y dystysgrif yn anghywir, neu fod gwlad benodol yn ymyrryd. Pecyn TCP yw ailosodiad sy’n terfynu cysylltiad, ac mae llinell y cofnod yn nodi bod eich cleient wedi derbyn un. Nid yw’n enwi’r ddyfais a’i hanfonodd na’r rheswm dros ei anfon.

Pecyn yw ailosodiad, nid dedfryd

Mae TCP yn diffinio prosesu ailosodiad: mae segment â’r faner RST yn terfynu’r cysylltiad ar unwaith. Nid yw’r derbynnydd yn trafod, nid yw’n ceisio eto ac nid yw’n gofyn pam. Mae’n adrodd yr ailosodiad ac yn symud ymlaen.

Dyna’r cyfan y mae’r cleient yn ei wybod. Gallai’r RST fod wedi dod o’r gweinydd, o brocsi, o wal dân neu o falansiwr llwyth a gollodd ei gyflwr.

Mae priodoli yn ymarfer ar wahân. Nid yw cyfeiriad ffynhonnell ymddangosiadol mewn cipiad yn brawf o’r tarddiad corfforol, ac nid yw’n dweud dim am y penderfyniad polisi y tu ôl iddo. Gall dyfeisiau canol drwmpio cyfeiriadau, a gall dyfeisiau â chyflwr ailosod ar derfyn amser yn hytrach nag o fwriad. Mae trin yr ailosodiad fel dedfryd yn hepgor y rhan lle’r ydych yn darganfod.

Cadarnhewch pa gysylltiad a ailosodwyd

Yn gyntaf, gwiriwch fod y proffil gweithredol yn defnyddio TCP mewn gwirionedd. Nid oes sens i ailosodiad ar dwnnel UDP, a gall cofnod o brocsi HTTP ymwneud â choes TCP wahanol i’r VPN ei hun.

Cofnodwch y cyrchfan, y porth, amser yr ymgais a’r cam yr oedd y cleient wedi’i gyrraedd.

Y cam yw’r maes mwyaf defnyddiol. Mae ailosodiad yn ystod yr ysgydwad llaw TLS yn cyfeirio at un set o amheuon; mae ailosodiad ar ôl dilysu yn cyfeirio at un arall. Heb y cam, mae pob theori yn ffitio.

Cymharwch ddau ben y llwybr

Os ydych yn gweinyddu’r gweinydd, cymharwch ei ddigwyddiadau ar gyfer yr un ymgais. A dderbyniodd y cysylltiad? A’i caeodd yn fwriadol? A adawodd ateb un ffin ac na chyrhaeddodd y nesaf?

Cipiwch wrth y cleient ac wrth y gweinydd os gallwch. Nid yw ailosodiad sy’n ymddangos wrth y cleient ond nid wrth y gweinydd wedi tarddu wrth y gweinydd.

Gwyliwch am segmentau RST yn y ddau gyfeiriad:

sudo tcpdump -ni any 'tcp[tcpflags] & tcp-rst != 0' -c 20
ss -tnp | grep 198.51.100.20

Cyfyngwch gyda chymhariaeth reoledig

Gall ail rwydwaith a gymeradwywyd ddweud wrthych a yw’r methiant yn dilyn y cleient neu’r llwybr. Os yw’r un proffil yn gweithio mewn man arall, mae cyfluniad y cleient yn ôl pob tebyg yn iawn a’r llwybr yw’r newidyn.

Nid yw hyn yn nodi un ddyfais ganol o hyd. Mae’n cyfyngu’r cwmpas i lwybr, sy’n ganlyniad defnyddiol ac onest.

Cadwch y gwahaniaeth rhwng «mae’r llwybr hwn yn methu» a «achosodd y gweithredwr enwir hwn hynny». Mae’r cyntaf yn brofadwy; nid yw’r ail fel arfer o un cleient.

Gwiriwch yr atgyweiriad heb newid gosodiadau ymddiriedaeth

Peidiwch â diffodd dilysu TLS, peidiwch ag ailgynhyrchu manylion mewngofnodi, ac na chyhoeddwch bolisi rhwystro o un llinell ailosodiad. Mae pob un o’r newidiadau hynny yn newid y system sy’n cael ei phrofi ac yn gwneud y gymhariaeth nesaf yn ddiystyr.

Trwsiwch y gydran a nodwyd drwy ei pherchennog, yna ailadroddwch yr un proffil a’r un arsylwi:

openvpn --config client.ovpn --verb 4
sudo tcpdump -ni any 'host 198.51.100.20 and tcp' -c 40

Y canlyniad defnyddiol yw methiant wedi’i leoli’n well, nid stori fwy hyderus. Os yw’r ailosodiad yn diflannu ar ôl trwsio’r procsi, mae gennych achos. Os yw’n symud i gam arall, rydych wedi dysgu rhywbeth am y llwybr. Naill ffordd neu’r llall, dylai’r dystiolaeth allu goroesi darlleniad gan ail berson. Ysgrifennwch yr hyn a arsylwoch, nid yr hyn y daethoch iddo.