Αποτυχία χειραψίας TLS στο OpenVPN: σε ποιο κλαδί βρίσκεστε;

Η γραμμή που λέει ότι η χειραψία TLS απέτυχε είναι το τέλος μιας ιστορίας, όχι η αρχή της. Σημασία έχει το συμβάν αμέσως πριν, γιατί εκείνο ονομάζει ποια από τέσσερις εντελώς διαφορετικές βλάβες έχετε. Ένα χρονικό όριο, μια ασυμφωνία καναλιού ελέγχου, μια απόρριψη πιστοποιητικού και μια αποτυχία μετά τη διαπραγμάτευση παράγουν τον ίδιο τίτλο. Επιλέξτε το κλαδί από τα στοιχεία και η διόρθωση παύει να είναι εικασία.

Διαβάστε το τελευταίο συμβάν πριν από την αποτυχία

Κυλήστε προς τα πάνω αντί να διαβάσετε την τελευταία γραμμή. Το συμβάν πριν από την αποσύνδεση συνήθως ονομάζει το στάδιο: καμία απάντηση, σφάλμα κατά την ανταλλαγή πακέτων ελέγχου, αποτέλεσμα επαλήθευσης ή επιτυχής διαπραγμάτευση που ακολουθείται από αποτέλεσμα ταυτοποίησης. Καθένα από αυτά ανήκει σε διαφορετικό υπεύθυνο. Αυτή η μία γραμμή καθορίζει ποια ενότητα παρακάτω ισχύει.

Αποθηκεύστε το κείμενο του σφάλματος με την έκδοση πελάτη, το τελικό σημείο και τη μεταφορά. Κρατήστε κλειδιά, κωδικούς και μη επεξεργασμένα προφίλ έξω από ό,τι δημοσιεύετε.

Ένα ακριβές πρώτο σφάλμα αξίζει περισσότερο από ένα μακρύ απόσπασμα αρχείου καταγραφής. Ονομάζει το στάδιο, και το στάδιο ονομάζει τον υπεύθυνο.

Κλαδί πρώτο: δεν επέστρεψε τίποτα

Αν ο πελάτης έστειλε το πρώτο πακέτο και δεν έλαβε τίποτα χρήσιμο, το πρόβλημα είναι στη διαδρομή ή στον ακροατή. Επιβεβαιώστε ότι το προφίλ ταιριάζει με επιλογή που προσφέρει πράγματι ο πάροχος: διεύθυνση, θύρα και UDP ή TCP. Έπειτα ελέγξτε αν το τελικό σημείο είναι προσβάσιμο από αυτό το δίκτυο. Σημειώστε ποιος από τους δύο ελέγχους απέτυχε πριν προχωρήσετε.

Ένας περιηγητής που φορτώνει σελίδα στο ίδιο όνομα κεντρικού υπολογιστή αποδεικνύει μόνο ότι απάντησε μια υπηρεσία ιστού. Ακόμη και μια αποδεκτή σύνδεση TCP δεν λέει τίποτα για το αν OpenVPN ολοκλήρωσε τη διαπραγμάτευση.

Αν το προφίλ λειτουργεί σε άλλο αξιόπιστο δίκτυο, κρατήστε αυτή τη σύγκριση. Εντοπίζει τον περιορισμό σε μια διαδρομή ή σε έναν μεσολαβητή.

Κλαδί δεύτερο: το κανάλι ελέγχου δεν ταιριάζει

Όταν η ανταλλαγή ξεκινά και μετά κολλά, οι ρυθμίσεις του καναλιού ελέγχου είναι ο πρώτος ύποπτος. Τα tls-auth και tls-crypt πρέπει να ταιριάζουν με την ανάπτυξη, και υλικό από άλλο διακομιστή δεν θα δώσει χρήσιμη ανταλλαγή. Αυτή η αποτυχία συμβαίνει πριν από οποιαδήποτε σύνδεση λογαριασμού. Ένα προφίλ αντιγραμμένο από παλαιότερο διακομιστή είναι η συνήθης πηγή.

Η επαναφορά κωδικού δεν αντικαθιστά αυτές τις ρυθμίσεις, και το δανεικό κλειδί από άλλη υπηρεσία δεν είναι διόρθωση συμβατότητας. Αποκτήστε το προφίλ μέσω του επαληθευμένου καναλιού του παρόχου και σημειώστε την έκδοση πελάτη που περιμένει.

Καταγράψτε το συγκεκριμένο σφάλμα διαπραγμάτευσης αντί να ενεργοποιήσετε ένα σωρό παλαιότερους αλγορίθμους για να δείτε τι κρατά. Ένα καταγεγραμμένο κείμενο σφάλματος είναι αυτό που επιτρέπει στον πάροχο να ελέγξει την πλευρά του.

Κλαδί τρίτο: ένα πιστοποιητικό απορρίφθηκε

Μια ρητή αποτυχία επαλήθευσης ονομάζει το πιστοποιητικό που δεν της αρέσει. Ελέγξτε πρώτα το ρολόι της συσκευής και μετά διαβάστε ποιο αντικείμενο απέτυχε: το πιστοποιητικό διακομιστή, το πιστοποιητικό πελάτη ή ένας εκδότης στην αλυσίδα. Η λήξη, ένας μη έμπιστος εκδότης και μια απρόσμενη ταυτότητα είναι τρία διαφορετικά μηνύματα.

Κρατήστε την επαλήθευση ενεργή όσο αποκτάτε διορθωμένο υλικό. Η αποδοχή άσχετου πιστοποιητικού αφαιρεί το σφάλμα χωρίς να αποδεικνύει ότι φτάσατε στον προοριζόμενο διακομιστή.

Σημειώστε αν η αποτυχία ακολουθεί το δίκτυο ή το προφίλ. Σφάλμα πιστοποιητικού που εμφανίζεται παντού δεν είναι πρόβλημα διαδρομής.

Κλαδί τέταρτο: η διαπραγμάτευση τελείωσε και κάτι άλλο απέτυχε

Μόλις πετύχει η ανταλλαγή ταυτότητας, η υπόλοιπη αποτυχία ανήκει στην ταυτοποίηση ή στη δρομολόγηση. Μια ρητή απόρριψη λογαριασμού είναι ζήτημα ταυτοποίησης, και μια συνδεδεμένη σήραγγα με απρόσιτες τοποθεσίες είναι ζήτημα δρομολόγησης ή DNS. Το να συνεχίσετε να αλλάζετε επιλογές TLS εκείνη τη στιγμή βλάπτει ένα στάδιο που ήδη λειτουργούσε.

Όταν αναφέρετε το πρόβλημα, πείτε αν αποτυγχάνει κάθε δίκτυο, αν λειτουργεί άλλο προφίλ και αν ο διακομιστής κατέγραψε την προσπάθεια. Η σιωπή από την πλευρά του διακομιστή και μια απόρριψη από αυτόν στέκονται σε διαφορετικά όρια.