OpenVPN-i TLS-kätlus ebaõnnestus: millisel harul te olete?

Rida, mis ütleb, et TLS-kätlus ebaõnnestus, on loo lõpp, mitte algus. Tähtis on sündmus vahetult enne seda, sest see nimetab, milline neljast väga erinevast rikkest teil on. Aegumine, juhtkanali mittevastavus, sertifikaadi tagasilükkamine ja läbirääkimisjärgne rike annavad kõik sama pealkirja. Valige haru tõendite järgi ja parandus ei ole enam oletus.

Lugege viimast sündmust enne riket

Kerige üles, selle asemel et lugeda viimast rida. Sündmus enne lahtiühendamist nimetab tavaliselt etapi: üldse vastust pole, viga juhtpakettide vahetamisel, kontrolli tulemus või edukas läbirääkimine, millele järgneb autentimise tulemus. Igaüks neist kuulub erinevale omanikule. See üks rida otsustab, milline allolev osa kehtib.

Salvestage veatekst koos kliendi versiooni, lõpp-punkti ja transpordiga. Hoidke võtmed, paroolid ja redigeerimata profiilid eemal kõigest, mille avalikult kleebite.

Täpne esimene viga on väärt rohkem kui pikk logilõik. See nimetab etapi ja etapp nimetab omaniku.

Haru üks: midagi ei tulnud tagasi

Kui klient saatis oma esimese paketi ega saanud midagi kasutatavat, on probleem teel või kuulajas. Kinnitage, et profiil vastab valikule, mida operaator tegelikult pakub: aadress, port ja UDP või TCP. Seejärel kontrollige, kas lõpp-punkt on sellest võrgust üldse kättesaadav. Märkige, milline neist kahest kontrollist ebaõnnestus, enne kui edasi lähete.

Brauser, mis laadib lehe samal hostinimel, tõestab ainult seda, et veebiteenus vastas. Isegi vastuvõetud TCP-ühendus ei ütle midagi selle kohta, kas OpenVPN lõpetas läbirääkimise.

Kui profiil töötab teises usaldusväärses võrgus, jätke see võrdlus alles. See paigutab piirangu teele või vahendajale.

Haru kaks: juhtkanal ei vasta

Kui vahetus algab ja siis takerdub, on juhtkanali sätted esimene kahtlusalune. tls-auth ja tls-crypt peavad juurutusele vastama ning teise serveri materjal ei anna kasulikku vahetust. See rike tekib enne igasugust kontole sisselogimist. Vanemast serverist kopeeritud profiil on tavaline allikas.

Parooli lähtestamine ei asenda neid sätteid ja teisest teenusest võtme laenamine ei ole ühilduvusparandus. Hankige profiil operaatori kinnitatud kanali kaudu ja märkige kliendi versioon, mida see eeldab.

Kirjutage üles konkreetne läbirääkimisviga, selle asemel et lubada hunnik vanemaid algoritme, et näha, mis püsib. Püütud veatekst on see, mis võimaldab operaatoril oma poolt kontrollida.

Haru kolm: sertifikaat lükati tagasi

Selge kontrollirike nimetab sertifikaadi, mis talle ei meeldi. Kontrollige esmalt seadme kella ja seejärel lugege, milline objekt ebaõnnestus: serveri sertifikaat, kliendi sertifikaat või ahelas olev väljaandja. Aegumine, ebausaldusväärne väljaandja ja ootamatu identiteet on kolm erinevat sõnumit.

Hoidke kontroll sisse lülitatud, kuni hankite parandatud materjali. Sobimatu sertifikaadi aktsepteerimine kõrvaldab vea, tõestamata, et jõudsite kavandatud serverisse.

Märkige, kas rike järgib võrku või profiili. Igal pool ilmuv sertifikaadiviga ei ole tee probleem.

Haru neli: läbirääkimine lõppes ja midagi muud ebaõnnestus

Kui identiteedivahetus õnnestub, kuulub ülejäänud rike autentimisele või marsruutimisele. Selge konto tagasilükkamine on autentimise küsimus ja ühendatud tunnel, mille saidid on kättesaamatud, on marsruutimise või DNS-i küsimus. TLS-i valikute edasine vahetamine kahjustab sel hetkel etappi, mis juba töötas.

Probleemi teatades öelge, kas kõik võrgud ebaõnnestuvad, kas teine profiil töötab ja kas server salvestas katse. Vaikimine serveri poolel ja sealt tulev tagasilükkamine asuvad erinevatel piiridel.