Χρονικό όριο TLS εξήντα δευτερολέπτων: ποια πλευρά σταμάτησε πραγματικά;

Ο πελάτης τα παρατά μετά από εξήντα δευτερόλεπτα με ένα μήνυμα για τη διαπραγμάτευση κλειδιών, και το φορητό δεν εκφέρει γνώμη για το γιατί. Αυτή η φράση περιγράφει την υπομονή του πελάτη, όχι τη συμπεριφορά του διακομιστή. Τρεις εντελώς διαφορετικές καταστάσεις το προκαλούν: το πακέτο δεν έφτασε ποτέ στη σωστή υπηρεσία, η υπηρεσία το απέρριψε πριν καταγράψει οτιδήποτε, ή η υπηρεσία το απέρριψε και το είπε κάπου που ο πελάτης δεν βλέπει. Η συσχέτιση μίας απόπειρας και στα δύο άκρα είναι αυτό που τις ξεχωρίζει.

Δώστε σε μία απόπειρα μια ταυτότητα που μπορείτε να αναζητήσετε

Καταγράψτε την ώρα έναρξης με τη ζώνη ώρας της, το όνομα του προφίλ, τον προορισμό που όντως έλυσε ο πελάτης, τη θύρα και αν η σύνδεση είναι UDP ή TCP. Αν το προφίλ φέρει πολλές απομακρυσμένες εγγραφές, σημειώστε ποια επέλεξε αυτή η απόπειρα, γιατί μια νέα προσπάθεια μπορεί να πέρασε στην επόμενη εγγραφή χωρίς να αλλάξει το αρχείο που διαβάζετε.

Πάρτε το τελικό σημείο από το ενεργό αρχείο καταγραφής, όχι από το λήμμα που θυμάστε. Ένα προφίλ που δείχνει σε ιδιωτική διεύθυνση είναι απολύτως έγκυρο και απολύτως άχρηστο από δίκτυο που δεν μπορεί να δρομολογήσει προς αυτήν, και αυτή η περίπτωση μοιάζει ίδια με διακομιστή που έχει πέσει.

Ζητήστε μετά από τον διαχειριστή το ίδιο παράθυρο στην προβλεπόμενη περίπτωση. Η απόκλιση ρολογιών είναι αρκετά συνηθισμένη ώστε μια διαφορά λίγων λεπτών να κάνει ένα ταιριαστό γεγονός να φαίνεται απόν, οπότε καταγράψτε τη διαφορά αντί να συμπεράνετε ότι δεν υπήρξε γεγονός.

Τέσσερις παρατηρήσεις, τέσσερα διαφορετικά επόμενα βήματα

Το τι καταγράφει ο διακομιστής καθορίζει τον κλάδο. Η απουσία οποιασδήποτε απόπειρας δείχνει διευθυνσιοδότηση, μεταφορά ή τη διαδρομή προς την υπηρεσία. Τα εισερχόμενα πακέτα που εξαφανίζονται πριν από μια συνηθισμένη ανταλλαγή δείχνουν τις απαιτήσεις του καναλιού ελέγχου της πραγματικής υπηρεσίας. Μια ονομαστική άρνηση δείχνει το αντικείμενο που ονομάζει. Οι απαντήσεις που φεύγουν από τον διακομιστή αλλά δεν φτάνουν ποτέ στον πελάτη δείχνουν την επιστροφική διαδρομή.

Ένα κενό αρχείο καταγραφής εφαρμογής είναι ασθενέστερη απόδειξη απ' ό,τι φαίνεται. Η καταγραφή αρχίζει σε ένα ορισμένο σημείο της ανταλλαγής, και τα πακέτα που απορρίπτονται πριν από αυτό το σημείο δεν αφήνουν ίχνος στο αρχείο που διαβάζετε. Όπου επιτρέπεται, ο διαχειριστής μπορεί να χρησιμοποιήσει παρατηρήσεις υπηρεσίας και δικτύου για να δει αν έφτασε κάτι καθόλου.

Κρατήστε τα τέσσερα αποτελέσματα χωριστά στις σημειώσεις σας. Ο πειρασμός είναι να τα συγχωνεύσετε σε «ο διακομιστής δεν απαντά», και αυτή είναι η φράση που στέλνει ανθρώπους να αλλάζουν κρυπτογραφήσεις όταν το πραγματικό πρόβλημα είναι ένας κανόνας τείχους προστασίας. Μια σημείωση που καταγράφει μόνο τη λέξη χρονικό όριο έχει πετάξει τη διάκριση που μόλις πληρώσατε.

Διορθώστε το στάδιο που ονομάζουν οι αποδείξεις

Μια σύνδεση TCP που ολοκληρώνεται αποδεικνύει μόνο ότι κάτι δέχτηκε μια υποδοχή. Δεν αποδεικνύει ότι ο ακροατής είναι η υπηρεσία OpenVPN που ρυθμίσατε, και ένας διακομιστής ιστού στο ίδιο όνομα κεντρικού υπολογιστή απαντά άψογα σε ένα πρόγραμμα περιήγησης ενώ είναι άσχετος με τη σήραγγα.

Αν ο διακομιστής αναφέρει ληγμένη λίστα ανάκλησης, αυτό είναι πολύ πιο συγκεκριμένο γεγονός από το τελικό χρονικό όριο του πελάτη, και η διόρθωση ανήκει στην αρχή έκδοσης πιστοποιητικών και όχι στο δίκτυο. Αν τα δύο άκρα διαφωνούν για την προστασία του καναλιού ελέγχου ή για κοινό υλικό, η επαναφορά κωδικού δεν αλλάζει τίποτα, γιατί η απόρριψη γίνεται πριν εξεταστεί οποιοδήποτε διαπιστευτήριο.

Αλλάξτε ένα πράγμα που πραγματικά υποστηρίζουν οι αποδείξεις και μετά επαναλάβετε το ίδιο προφίλ στο ίδιο τελικό σημείο. Διατηρήστε το πρώτο νέο γεγονός αν η σύνδεση προχωρήσει περισσότερο, γιατί αυτό το γεγονός είναι το επόμενο στάδιο της έρευνας και όχι νέο πρόβλημα.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Τι αλλάζει πραγματικά η επέκταση του παραθύρου

Εξήντα δευτερόλεπτα είναι το παράθυρο χειραψίας του πελάτη, και η αναφορά πελάτη της κοινότητας τεκμηριώνει την επιλογή που το ρυθμίζει. Η αύξησή του κάνει τον πελάτη να περιμένει περισσότερο πριν τα παρατήσει. Δεν κάνει μια απούσα υπηρεσία να εμφανιστεί και δεν κάνει ένα απορριφθέν πακέτο αποδεκτό.

Υπάρχει νόμιμη χρήση για μεγαλύτερο παράθυρο σε αργό ζεύγος ή σε διακομιστή με βαρύ φόρτο, και αξίζει να το δοκιμάσετε όταν έχετε αποδείξεις ότι η ανταλλαγή προχωρά αργά και όχι ότι δεν συμβαίνει. Το να το δοκιμάσετε πρώτα απλώς καθυστερεί την ίδια διάγνωση για ένα ακόμη λεπτό και κάνει το χρονοδιάγραμμα δυσκολότερο στην ανάγνωση. Αν το χρονοδιάγραμμα δείχνει μια ανταλλαγή που προχωρά και μετά κολλά, το παράθυρο είναι σύμπτωμα φόρτου και όχι προσβασιμότητας.