P_CONTROL_HARD_RESET_CLIENT_V2 logis: kas see on viga?

Rida kordub iga paari sekundi järel ja näib olevat kõige põhjus: pakett nimega control hard reset, mis tuleb kliendilt, kes ei jõua kuhugi. See ei ole viga. See on uue seansi esimene sõnum ja kordumine on märk sellest, et midagi muud ebaõnnestub kaugemal. Sildi öeldu eraldamine sellest, mida ühendus seejärel tegi, on kogu diagnoos.

Opkood tähistab protokollis positsiooni

OpenVPN multipleksib ühe soketi peal mitut tüüpi pakette ja opkood ütleb vastuvõtjale, millist tüüpi ta käes hoiab. Hard-reset-paketid avavad seansi, juhtpaketid kannavad käepigistuse materjali, kinnitused kinnitavad vastuvõttu ja andmepaketid kannavad tunneli koormust. Esimese baidi lugemine näitab, kuhu pakett selles vahetuses kuulub, ja lähtekoodi paketimääratlused nimetavad iga perekonda selgesõnaliselt.

See on kõik, mida see ütleb. Pakett, mis on märgitud kliendi algsena lähtestamiseks, tõestab, et pakett jõudis teie vaatluspunkti ja et partner soovib seansi alustada. See ei tõesta, et klient usaldas teie sertifikaati, et tema mandaat võeti vastu või et andmekanal kunagi kasutatavaks muutus.

Järelliide V2 on selle paketiperekonna protokolli põlvkonna marker, mitte tooteversioon ja mitte seade, mille te paigaldate. Miski nimes ei viita tunneli lähtestamisele, teenuse taaskäivitamisele ega vahemälu tühjendamisele.

Mida klient sel hetkel tegelikult teeb

Klient avab seansi identifikaatori, mille külge mõlemad pooled kinnitavad järgneva juhtliikluse. Kui juhtkanali kaitse on seadistatud, kannab see esimene pakett juba HMAC-i, mis lubab vastuvõtjal otsustada, kas vahetuse ülejäänud osale pingutust kulutada. Vastuvõtja, kes seda kontrollida ei saa, viskab paketi vaikselt kõrvale, mistõttu vale ühine võti näeb välja nagu klient, kes räägib tühjusesse.

Kasutajale nähtavat ei ole veel juhtunud. Ükski sertifikaat ei ole valideeritud, ükski kasutajanimi ei ole pakutud ja ükski tunneli aadress ei ole määratud. Reset on käepigistuse eelmäng, seega on igasugune hinnang ühendusele praegu ennatlik.

Tühikäigulises taasühendumise tsüklis on huvitav detail intervall. Klient, kes proovib uuesti kindla tsükliga ilma edenemiseta, lükatakse tavaliselt tagasi enne, kui ta saab edasi liikuda, ja põhjus on partneri logis, mitte paketi nimes.

Kuhu peitub tegelik rike pärast resetti

Lugege kahte logi kõrvuti ja leidke esimene sündmus, mis ei ole reset. Kliendil teatatakse sertifikaadi valideerimise ebaõnnestumisest konkreetse põhjusega: aegunud sertifikaat, nime erinevus või tundmatu väljaandja. Serveril teatatakse mandaadi tagasilükkamisest autentimise ebaõnnestumisena oma põhjusega. Mõlemad on palju konkreetsemad kui serveri korduv pilk uutele katsetele.

Sobitage üks katse ajatempli järgi, selle asemel et lugeda iga logi eraldi, sest sama ebaõnnestumine ilmub mõlemas kohas erineva sõnastuse ja erineva tõsidusega. Partner, kes alla annab, ütleb tavaliselt põhjuse.

Kui kumbki pool tagasilükkamist ei teata ja vahetus jääb ikka seisma, on piiriks kättesaadavus, mitte usaldus. Tulemüür, mis viskab tagasisuuna kõrvale, võrguaadresside tõlkimise seade, mille vastendus aegub, või MTU-probleem, mis tapab suuremad käepigistuspaketid, tekitavad kõik seiskunud vahetuse ilma ühegi autentimisveata.

grep -nE 'VERIFY|AUTH_FAILED|TLS Error|SIGUSR1' /var/log/openvpn*.log

See otsing ei ole iseenesest diagnoos, kuid viib teid ühe sammuga protokolli sõnavarast tegeliku rikkeklassini.

Miks kontrolli väljalülitamine on vale refleks

Kui reset ilmub jätkuvalt, on kõige kiirem näiv parandus lülitada välja sertifikaatide valideerimine või loobuda juhtkanali kaitsest, et midagi ühenduks. See vahetab diagnoositava rikke diagnoosimatu vastu ja jätab juurutuse vastu võtma partnerid, keda see ehitati tagasi lükkama.

Muutke hoopis seda piiri, mis tegelikult ebaõnnestus. Usaldusprobleem kuulub sertifitseerimisasutusele ja profiilile, mis sellele viitab. Ajaprobleem kuulub kellale. Mandaadiprobleem kuulub autentimise taustaprogrammile, mis selle tagasi lükkas, ja kättesaamatu partner kuulub kahe hosti vahelisele teekonnale.

Opkood on tugivestluses kasulik ühe asja jaoks: see ütleb, et partner jõudis piisavalt kaugele, et proovida. Mis juhtus pärast seda, on see, mida teil vaja on teada, ja see on kirjas selles logis, mis fikseerib esimese konkreetse tagasilükkamise. Alustage sealt ja reset-rida lakkab näitamast põhjusena ning hakkab näitama ajatemplina.