Sesdek-sekunda TLS-tempoŝlimo: kiu flanko vere haltis?

La kliento rezignas post sesdek sekundoj kun mesaĝo pri ŝlosila interkonsento, kaj la tekkomputilo ne esprimas opinion pri kial. Tiu frazo priskribas la paciencon de la kliento, ne la konduton de la servilo. Tri tute malsamaj situacioj kaŭzas ĝin: la paketo neniam atingis la ĝustan servon, la servo forĵetis ĝin antaŭ ol registri ion, aŭ la servo rifuzis ĝin kaj diris tion ie, kion la kliento ne povas vidi. Kunordigi unu provon ĉe ambaŭ finoj estas tio, kio distingas ilin.

Donu al unu provo identecon, kiun vi povas serĉi

Notu la komencan tempon kun ĝia horzono, la profilan nomon, la celon, kiun la kliento fakte solvis, la pordon, kaj ĉu la konekto estas UDP aŭ TCP. Se la profilo enhavas plurajn malproksimajn erojn, notu, kiun tiu provo elektis, ĉar ripeto eble moviĝis al la sekva ero sen ŝanĝi la dosieron, kiun vi legas.

Prenu la finpunkton el la aktiva protokolo, ne el la elŝuto, kiun vi memoras. Profilo montranta al privata adreso estas tute valida kaj tute neuzebla el reto, kiu ne povas enkursigi al ĝi, kaj tiu kazo aspektas same kiel servilo, kiu estas malŝaltita.

Poste petu de la operatoro la saman fenestron en la celita instanco. Hora dekliniĝo estas sufiĉe ofta, ke diferenco de kelkaj minutoj povas igi kongruan eventon ŝajni forestanta, do notu la dekliniĝon anstataŭ konkludi, ke neniu evento okazis.

Kvar observoj, kvar malsamaj sekvaj paŝoj

Tio, kion la servilo registras, decidas la branĉon. Manko de iu ajn provo indikas adresadon, transporton aŭ la vojon al la servo. Alvenantaj paketoj, kiuj malaperas antaŭ ordinara interŝanĝo, indikas la postulojn de la rega kanalo de la reala servo. Nomita rifuzo indikas la objekton, kiun ĝi nomas. Respondoj, kiuj forlasas la servilon sed neniam atingas la klienton, indikas la revenan vojon.

Malplena aplikaĵa protokolo estas pli malforta pruvo, ol ĝi aspektas. Registrado komenciĝas je certa punkto de la interŝanĝo, kaj paketoj forĵetitaj antaŭ tiu punkto ne lasas spuron en la dosiero, kiun vi legas. Kie tio estas permesita, la operatoro povas uzi observojn de servo kaj reto por vidi, ĉu io ajn alvenis.

Tenu la kvar rezultojn aparte en viaj notoj. La tento estas kunfandi ilin en «la servilo ne respondas», kaj ĝuste tiu frazo sendas homojn ŝanĝi ĉifrojn, kiam la reala problemo estas regulo de fajromuro. Noto, kiu registras nur la vorton tempoŝlimo, forĵetis la distingon, por kiu vi ĵus pagis.

Riparu la stadion, kiun la pruvoj nomas

Kompletigita TCP-konekto pruvas nur, ke io akceptis ingon. Ĝi ne pruvas, ke la aŭskultanto estas la OpenVPN-servo, kiun vi agordis, kaj retservilo ĉe la sama gastigantnomo respondas al retumilo perfekte, dum ĝi estas nerelevanta por la tunelo.

Se la servilo raportas eksvalidiĝintan revokliston, tio estas multe pli specifa fakto ol la fina tempoŝlimo de la kliento, kaj la riparo apartenas al la atestiga aŭtoritato, ne al la reto. Se la du finoj malkonsentas pri protekto de la rega kanalo aŭ pri komuna materialo, restarigo de pasvorto ŝanĝas nenion, ĉar la forĵeto okazas antaŭ ol ekzameniĝas iu ajn legitimilo.

Ŝanĝu unu aferon, kiun la pruvoj vere subtenas, poste ripetu la saman profilon kontraŭ la sama finpunkto. Konservu la unuan novan eventon, se la konekto progresas plu, ĉar tiu evento estas la sekva stadio de la esploro, ne nova problemo.

grep -nE 'TLS Error|VERIFY ERROR|CRL|handshake failed' /var/log/openvpn/server.log
date -u; timedatectl | head -3

Kion fakte ŝanĝas etendi la fenestron

Sesdek sekundoj estas la manprema fenestro de la kliento, kaj la komunuma klienta referenco dokumentas la opcion, kiu ĝin alĝustigas. Pliigi ĝin igas la klienton atendi pli longe antaŭ rezigni. Ĝi ne igas forestantan servon aperi kaj ne igas rifuzitan paketon akceptebla.

Ekzistas laŭlegitima uzo de pli longa fenestro ĉe malrapida ligo aŭ forte ŝarĝita servilo, kaj indas provi ĝin, kiam vi havas pruvojn, ke la interŝanĝo progresas malrapide, ne ke ĝi ne okazas. Provi ĝin unue simple prokrastas la saman diagnozon je plua minuto kaj igas la templinion pli malfacile legebla. Se la templinio montras interŝanĝon, kiu progresas kaj poste haltas, la fenestro estas simptomo de ŝarĝo, ne de atingeblo.