P_CONTROL_HARD_RESET_CLIENT_V2 en la protokolo: ĉu ĝi estas eraro?

La linio ripetiĝas ĉiun kelkajn sekundojn kaj aspektas kiel la kaŭzo de ĉio: paketo nomata control hard reset, venanta de kliento, kiu neniam alvenas ien. Ĝi ne estas eraro. Ĝi estas la unua mesaĝo de nova sesio, kaj la ripetiĝo estas simptomo de io alia, kio malsukcesas plu antaŭen. Apartigi tion, kion diras la etikedo, de tio, kion la konekto faris poste, estas la tuta diagnozo.

La opkodo nomas pozicion en la protokolo

OpenVPN multiksas plurajn specojn de paketoj sur unu ingo, kaj la opkodo diras al la ricevanto, kiun specon ĝi tenas. Hard-reset-paketoj malfermas sesion, regadpakaĵoj portas manpreman materialon, konfirmoj konfirmas ricevon, kaj datumpaketoj portas la utilan ŝarĝon de la tunelo. Legi la unuan bajton montras, kie en tiu interŝanĝo la paketo apartenas, kaj la paketaj difinoj en la fontkodo nomas ĉiun familion eksplicite.

Tio estas ĉio, kion ĝi diras. Paketo etikedita kiel komenca restarigo de kliento pruvas, ke la paketo atingis vian observpunkton kaj ke la partnersistema nodo volas komenci sesion. Ĝi ne pruvas, ke la kliento fidis vian atestilon, ke ĝiaj akreditiloj estis akceptitaj, aŭ ke datumkanalo iam fariĝis uzebla.

La sufikso V2 estas protokola generacia markilo por tiu paketfamilio, ne produkta versio kaj ne agordo, kiun vi instalas. Nenio en la nomo rilatas al restarigo de tunelo, restartigo de servo aŭ malplenigo de kaŝmemoro.

Kion la kliento fakte faras tiun momenton

La kliento malfermas sesian identigilon, al kiu ambaŭ flankoj ligos la sekvan regadan trafikon. Kiam protekto de la regada kanalo estas agordita, tiu unua paketo jam portas la HMAC-on, kiu ebligas al la ricevanto decidi, ĉu elspezi penon por la resto de la interŝanĝo. Ricevanto, kiu ne povas kontroli ĝin, silente forĵetas la paketon, kaj pro tio malĝusta komuna ŝlosilo aspektas kiel kliento parolanta en la malplenon.

Nenio videbla por la uzanto ankoraŭ okazis. Neniu atestilo estis validigita, neniu uzantnomo estis proponita kaj neniu tunela adreso estis atribuita. La restarigo estas la antaŭparolo de la manpremo, do ajna juĝo pri la konekto en ĉi tiu punkto estas antaŭtempa.

Por senokupa religa buklo, la interesa detalo estas la intervalo. Kliento, kiu repronvas en fiksa ciklo sen progreso, estas kutime malakceptata antaŭ ol ĝi povas antaŭeniri, kaj la kialo estas en la protokolo de la partnero, ne en la nomo de la paketo.

Kie kaŝiĝas la reala paneo post la restarigo

Legu la du protokolojn flanke unu de la alia kaj trovu la unuan eventon, kiu ne estas restarigo. Ĉe la kliento, malsukceso de atestila validigo estas raportata kun la specifa kialo: eksvalidiĝinta atestilo, malkongruo de nomo aŭ nekonata eldoninto. Ĉe la servilo, malakcepto de akreditiloj estas raportata kiel malsukceso de aŭtentigado kun propra kialo. Ambaŭ estas multe pli specifaj ol la ripetiĝanta vido de la servilo al novaj provoj.

Parigu unu provon laŭ tempomarko anstataŭ legi ĉiun protokolon izolite, ĉar la sama malsukceso aperas en ambaŭ lokoj kun malsama vortigo kaj malsama severecom. La partnero, kiu rezignas, kutime diras kial.

Se neniu flanko raportas malakcepton kaj la interŝanĝo tamen haltas, la limo estas atingeblo, ne fido. Fajroŝirmilo, kiu forĵetas la returnan direkton, aparato por traduki retadresojn, kiu lasas la mapadon eksvalidiĝi, aŭ MTU-problemo, kiu mortigas pli grandajn manpremajn paketojn, ĉiuj produktas haltintan interŝanĝon tute sen aŭtentiga eraro.

grep -nE 'VERIFY|AUTH_FAILED|TLS Error|SIGUSR1' /var/log/openvpn*.log

Tiu serĉo ne estas diagnozo memstare, sed ĝi movas vin de la protokola vortaro al reala panea klaso en unu paŝo.

Kial malŝalti la kontroladon estas la malĝusta reflekso

Kiam la restarigo daŭre aperas, la plej rapide aspektanta solvo estas malŝalti atestilan kontroladon aŭ forlasi la protekton de la regada kanalo, por ke io konektiĝu. Tio interŝanĝas diagnozeblan paneon kontraŭ nediagnozebla, kaj ĝi lasas la aranĝon akcepti partnerojn, kiujn ĝi estis konstruita por malakcepti.

Ŝanĝu anstataŭe la limon, kiu fakte malsukcesis. Fidoproblemo apartenas al la atestila aŭtoritato kaj al la profilo, kiu ĝin referencas. Tempoproblemo apartenas al la horloĝo. Akreditilproblemo apartenas al la aŭtentiga motoraĵo, kiu ĝin malakceptis, kaj neatingebla partnero apartenas al la vojo inter la du gastigantoj.

La opkodo utilas en subtena konversacio por unu afero: ĝi diras al vi, ke la partnero iris sufiĉe longe por provi. Kio okazis poste estas tio, kion vi devas scii, kaj ĝi estas skribita en tiu protokolo, kiu registras la unuan specifan malakcepton. Komencu tie, kaj la restariga linio ĉesas aspekti kiel kaŭzo kaj komencas aspekti kiel tempomarko.