OpenVPN: TLS-Handshake fehlgeschlagen – auf welchem Zweig stehen Sie?

Die Zeile, die den fehlgeschlagenen TLS-Handshake meldet, ist das Ende einer Geschichte, nicht ihr Anfang. Entscheidend ist das Ereignis unmittelbar davor, denn es benennt, welchen von vier sehr verschiedenen Fehlern Sie haben. Ein Timeout, eine Abweichung im Steuerkanal, eine Zertifikatsablehnung und ein Fehler nach der Aushandlung erzeugen dieselbe Überschrift. Wählen Sie den Zweig nach den Belegen, dann ist die Korrektur kein Raten mehr.

Lesen Sie das letzte Ereignis vor dem Fehler

Scrollen Sie nach oben, statt die letzte Zeile zu lesen. Das Ereignis vor der Trennung benennt meist die Phase: gar keine Antwort, ein Fehler beim Austausch der Steuerpakete, ein Prüfergebnis oder eine erfolgreiche Aushandlung mit anschließendem Authentifizierungsergebnis. Jedes davon gehört zu einem anderen Verantwortlichen. Diese eine Zeile entscheidet, welcher Abschnitt unten gilt.

Speichern Sie den Fehlertext mit Client-Version, Endpunkt und Transport. Halten Sie Schlüssel, Passwörter und unredigierte Profile aus allem heraus, was Sie öffentlich einfügen.

Ein präziser erster Fehler ist mehr wert als ein langer Logauszug. Er benennt die Phase, und die Phase benennt den Verantwortlichen.

Zweig eins: es kam nichts zurück

Wenn der Client sein erstes Paket gesendet und nichts Brauchbares erhalten hat, liegt das Problem auf dem Pfad oder beim Listener. Bestätigen Sie, dass das Profil zu einer Option passt, die der Betreiber tatsächlich anbietet: Adresse, Port und UDP oder TCP. Prüfen Sie dann, ob der Endpunkt aus diesem Netz überhaupt erreichbar ist. Notieren Sie, welche der beiden Prüfungen fehlschlug, bevor Sie weitermachen.

Ein Browser, der eine Seite unter demselben Hostnamen lädt, beweist nur, dass ein Webdienst geantwortet hat. Selbst eine angenommene TCP-Verbindung sagt nichts darüber, ob OpenVPN die Aushandlung abgeschlossen hat.

Wenn das Profil in einem anderen vertrauenswürdigen Netz funktioniert, behalten Sie diesen Vergleich. Er verortet die Beschränkung auf einem Pfad oder bei einem Zwischenglied.

Zweig zwei: der Steuerkanal passt nicht

Wenn der Austausch beginnt und dann stockt, sind die Einstellungen des Steuerkanals der erste Verdacht. tls-auth und tls-crypt müssen zur Bereitstellung passen, und Material von einem anderen Server ergibt keinen brauchbaren Austausch. Dieser Fehler tritt vor jeder Kontoanmeldung auf. Ein aus einem älteren Server kopiertes Profil ist die übliche Quelle.

Ein Zurücksetzen des Passworts ersetzt diese Einstellungen nicht, und einen Schlüssel von einem anderen Dienst zu leihen ist keine Kompatibilitätskorrektur. Holen Sie das Profil über den verifizierten Kanal des Betreibers und notieren Sie die erwartete Client-Version.

Notieren Sie den konkreten Aushandlungsfehler, statt einen Haufen älterer Algorithmen zu aktivieren, um zu sehen, was hält. Ein festgehaltener Fehlertext ist es, der den Betreiber seine Seite prüfen lässt.

Zweig drei: ein Zertifikat wurde abgelehnt

Ein ausdrücklicher Prüffehler benennt das Zertifikat, das er nicht mag. Prüfen Sie zuerst die Geräteuhr und lesen Sie dann, welches Objekt fehlschlug: das Serverzertifikat, das Clientzertifikat oder ein Aussteller in der Kette. Ablauf, ein nicht vertrauenswürdiger Aussteller und eine unerwartete Identität sind drei verschiedene Meldungen.

Lassen Sie die Prüfung eingeschaltet, während Sie korrigiertes Material besorgen. Ein unpassendes Zertifikat zu akzeptieren beseitigt den Fehler, ohne zu belegen, dass Sie den vorgesehenen Server erreicht haben.

Notieren Sie, ob der Fehler dem Netz oder dem Profil folgt. Ein Zertifikatsfehler, der überall auftritt, ist kein Pfadproblem.

Zweig vier: die Aushandlung war fertig und etwas anderes schlug fehl

Sobald der Identitätsaustausch gelingt, gehört der verbleibende Fehler zur Authentifizierung oder zum Routing. Eine ausdrückliche Kontoablehnung ist eine Frage der Authentifizierung, und ein verbundener Tunnel mit unerreichbaren Seiten ist eine Frage des Routings oder DNS. Weiter TLS-Optionen zu tauschen beschädigt an diesem Punkt eine Phase, die bereits funktioniert hat.

Wenn Sie das Problem melden, sagen Sie, ob jedes Netz scheitert, ob ein anderes Profil funktioniert und ob der Server den Versuch aufgezeichnet hat. Schweigen auf der Serverseite und eine Ablehnung von dort liegen an verschiedenen Grenzen.